Ловим техники и тактики на атакуващите с използване на Prefetch файлове.

Файловете за префетчиране, или Prefetch-файловете, се появиха в Windows още от времето на XP. Оттогава те помагат на специалистите по цифрова криминалистика и реагиране на инциденти да открият следи от стартиране на програми, включително и злонамерени. Водещ специалист по компютърна криминалистика в Group-IB Олег Скулкин разказва какво може да се намери с помощта на Prefetch-файловете и как да стане това.

Prefetch-файловете се съхраняват в директорията %SystemRoot%Prefetch и служат за ускоряване на процеса на стартиране на програми. Ако погледнем към който и да е от тези файлове, ще видим, че името му се състои от две части: името на изпълнимия файл и контролната сума на пътя към него, състояща се от осем символа.

Prefetch-файловете съдържат огромно количество полезна информация от криминалистична гледна точка: името на изпълнимия файл, броя на стартиранията му, списъци с файлове и директории, с които е взаимодействал изпълнимия файл, и, разбира се, времеви печати. Обикновено криминалистите използват датата на създаване на даден Prefetch-файл, за да определят датата на първото стартиране на програмата. Освен това, тези файлове съхраняват датата на последното ѝ стартиране, а от версия 26 (Windows 8.1) нататък — времевите печати на седемте последни стартирания.

Нека вземем един от Prefetch-файловете, извлечем данните от него с инструмента PECmd на Ерик Цимерман и разгледаме всяка негова част. За демонстрация ще извлека данни от файла CCLEANER64.EXE-DE05DBE1.pf.

Така че, да започнем отгоре. Разбира се, имаме времевите печати за създаване, модификация и достъп до файла:

Следват името на изпълнимия файл, контролна сума на пътя към него, размерът на изпълнимия файл, както и версията на Prefetch-файла:

Тъй като работим с Windows 10, след това ще видим броя на стартиранията, датата и часа на последното стартиране и още седем времеви печата, указващи предишните дати на стартиране:

Следват информация за тома, включително серийния му номер и датата на създаване:

И последно, но не по маловажно — списък с директории и файлове, с които е взаимодействал изпълнимият файл:

И така, каталогите и файловете, с които изпълняваният файл взаимодейства, са точно това, на което днес искам да се съсредоточа. Именно тези данни позволяват на специалистите по цифрова криминалистика, реагиране на компютърни инциденти или проактивно търсене на заплахи да установят не само факта на изпълнение на определен файл, но и, в някои случаи, да реконструират конкретни тактики и техники на атакуващите. Днес злонамерените лица често използват инструменти за безвъзвратно изтриване на данни, например, SDelete, затова способността да се възстановяват поне следи от използването на определени тактики и техники е абсолютно необходима за всеки съвременен защитник — компютърен криминалист, специалист по инциденти, експерт по ThreatHunter.

Нека започнем с тактиката Initial Access (TA0001) и най-популярната техника — Spearphishing Attachment (T1193). Някои киберпрестъпни групи подхождат доста креативно към избора на такива вложения. Например, групата Silence е използвала файлове във формат CHM (Microsoft Compiled HTML Help). По този начин, пред нас е още една техника — Compiled HTML File (T1223). Тези файлове се стартират с помощта на hh.exe, следователно, ако извлечем данни от неговия Prefetch файл, ще разберем кой конкретен файл е бил отворен от жертвата:

Да продължим с примери от реални случаи и да преминем към следващата тактика Execution (TA0002) и техниката CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) може да се използва от атакуващите за стартиране на злонамерени скриптове. Добър пример е групата Cobalt. Ако извлечем данни от Prefetch файла cmstp.exe, отново ще можем да разберем какво точно е било стартирано:

Още една популярна техника — Regsvr32 (T1117). Regsvr32.exe също често се използва от атакуващите за стартиране. Ето още един пример от групата Cobalt: ако извлечем данни от Prefetch файла regsvr32.exe, отново ще видим какво е било стартирано:

Следващите тактики — Persistence (TA0003) и Privilege Escalation (TA0004), а също и Application Shimming (T1138) като техника. Эта техника была использована Carbanak/FIN7 для закрепления в системе. Обычно для работы с базами данных с информацией о совместимости программ (.sdb) используется sdbinst.exe. Следователно, Prefetch файлът на този изпълняван файл може да ни помогне да разберем имената на такива бази данни и тяхното разположение:

Както можем да видим на изображението, имаме не само името на файла, използван за инсталацията, но и името на инсталираната база данни.

Нека разгледаме един от най-типичните примери за онлайн промоция (TA0008) — PsExec, използващ административни споделени ресурси (T1077). Услугата с името PSEXECSVC (разбира се, може да се използва и всяко друго име, ако атакуващите са използвали параметър -r) ще бъде създадена на целевата система, следователно, ако извлечем данни от Prefetch файла, ще видим, че е било стартирано:

Ще завърша с това, с което започнах — изтриване на файлове (T1107). Както вече споменах, много атакуващи използват SDelete за безвъзвратно изтриване на файлове в различни етапи от жизнения цикъл на атаката. Ако погледнем данните от Prefetch файла, sdelete.exe, ще видим какво точно е било изтрито:

Разбира се, това не е изчерпателен списък с техники, които могат да бъдат открити при анализа на Prefetch файлове, но това е напълно достатъчно, за да разберем, че тези файлове могат да помогнат не само за намиране на следи от стартиране, но и за реконструиране на конкретни тактики и техники на атакуващите.

Източник: habr.com