Prefetch ফাইল ব্যবহার করে আক্রমণের কৌশল এবং কৌশলের জন্য শিকার

ট্রেস ফাইল, বা প্রিফেচ ফাইলগুলি, XP থেকে উইন্ডোজে প্রায় রয়েছে৷ তারপর থেকে, তারা ডিজিটাল ফরেনসিক এবং কম্পিউটার ঘটনা প্রতিক্রিয়া বিশেষজ্ঞদের ম্যালওয়্যার সহ সফ্টওয়্যারের চিহ্ন খুঁজে পেতে সহায়তা করেছে৷ কম্পিউটার ফরেনসিক গ্রুপ-আইবি-এর নেতৃস্থানীয় বিশেষজ্ঞ ওলেগ স্কুলকিন প্রিফেচ ফাইলগুলি ব্যবহার করে আপনি কী খুঁজে পেতে পারেন এবং এটি কীভাবে করবেন তা আপনাকে বলে৷

প্রিফেচ ফাইল ডিরেক্টরিতে সংরক্ষণ করা হয় %SystemRoot%Prefetch এবং প্রোগ্রাম চালু করার প্রক্রিয়া দ্রুততর করতে পরিবেশন করুন। আমরা যদি এই ফাইলগুলির যেকোনটি দেখি, আমরা দেখতে পাব যে এর নাম দুটি অংশ নিয়ে গঠিত: এক্সিকিউটেবল ফাইলের নাম এবং এটির পথ থেকে একটি আট-অক্ষরের চেকসাম।

প্রিফেচ ফাইলগুলিতে ফরেনসিক দৃষ্টিকোণ থেকে দরকারী অনেক তথ্য থাকে: এক্সিকিউটেবল ফাইলের নাম, কতবার এটি কার্যকর করা হয়েছিল, এক্সিকিউটেবল ফাইলের সাথে ইন্টারঅ্যাক্ট করা ফাইল এবং ডিরেক্টরিগুলির তালিকা এবং অবশ্যই টাইমস্ট্যাম্প। সাধারণত, ফরেনসিক বিজ্ঞানীরা প্রোগ্রামটি প্রথম চালু হওয়ার তারিখ নির্ধারণ করতে একটি নির্দিষ্ট প্রিফেচ ফাইল তৈরির তারিখ ব্যবহার করে। উপরন্তু, এই ফাইলগুলি এর শেষ লঞ্চের তারিখ সংরক্ষণ করে, এবং সংস্করণ 26 (উইন্ডোজ 8.1) থেকে শুরু করে - সাম্প্রতিক সাতটি রানের টাইমস্ট্যাম্প।

এরিক জিমারম্যানের পিইসিএমডি ব্যবহার করে প্রিফেচ ফাইলগুলির মধ্যে একটি নেওয়া যাক, এটি থেকে ডেটা বের করুন এবং এর প্রতিটি অংশ দেখুন। প্রদর্শন করতে, আমি একটি ফাইল থেকে ডেটা বের করব CCEANER64.EXE-DE05DBE1.pf.

তো এর উপর থেকে শুরু করা যাক. অবশ্যই, আমাদের কাছে ফাইল তৈরি, পরিবর্তন এবং অ্যাক্সেস টাইমস্ট্যাম্প রয়েছে:

তাদের অনুসরণ করা হয় এক্সিকিউটেবল ফাইলের নাম, এটিতে যাওয়ার পথের চেকসাম, এক্সিকিউটেবল ফাইলের আকার এবং প্রিফেচ ফাইলের সংস্করণ:

যেহেতু আমরা উইন্ডোজ 10 এর সাথে কাজ করছি, পরবর্তীতে আমরা শুরুর সংখ্যা, শেষ শুরুর তারিখ এবং সময় এবং আগের লঞ্চের তারিখগুলি নির্দেশ করে আরও সাতটি টাইমস্ট্যাম্প দেখতে পাব:

এইগুলি ভলিউম সম্পর্কে তথ্য দ্বারা অনুসরণ করা হয়, যার ক্রমিক নম্বর এবং তৈরির তারিখ সহ:

শেষ কিন্তু অন্তত নয় এমন ডিরেক্টরি এবং ফাইলগুলির একটি তালিকা যা এক্সিকিউটেবলের সাথে ইন্টারঅ্যাক্ট করেছে:

সুতরাং, এক্সিকিউটেবল যে ডিরেক্টরী এবং ফাইলগুলির সাথে ইন্টারঅ্যাক্ট করেছে ঠিক সেগুলিই আমি আজকে ফোকাস করতে চাই৷ এই তথ্যটিই ডিজিটাল ফরেনসিক, কম্পিউটার ঘটনার প্রতিক্রিয়া, বা সক্রিয় হুমকি শিকারের বিশেষজ্ঞদের শুধুমাত্র একটি নির্দিষ্ট ফাইল কার্যকর করার সত্যই নয়, কিছু ক্ষেত্রে আক্রমণকারীদের নির্দিষ্ট কৌশল এবং কৌশলগুলি পুনর্গঠন করার অনুমতি দেয়। আজ, আক্রমণকারীরা প্রায়শই ডেটা স্থায়ীভাবে মুছে ফেলার জন্য সরঞ্জামগুলি ব্যবহার করে, উদাহরণস্বরূপ, SDelete, তাই নির্দিষ্ট কৌশল এবং কৌশলগুলির ব্যবহারের অন্তত চিহ্নগুলি পুনরুদ্ধার করার ক্ষমতা যে কোনও আধুনিক ডিফেন্ডারের জন্য প্রয়োজন - কম্পিউটার ফরেনসিক বিশেষজ্ঞ, ঘটনা প্রতিক্রিয়া বিশেষজ্ঞ, থ্রেটহান্টার বিশেষজ্ঞ

আসুন প্রাথমিক অ্যাক্সেস কৌশল (TA0001) এবং সবচেয়ে জনপ্রিয় কৌশল, স্পিয়ারফিশিং অ্যাটাচমেন্ট (T1193) দিয়ে শুরু করা যাক। কিছু সাইবার অপরাধী গোষ্ঠী তাদের পছন্দের বিনিয়োগে বেশ সৃজনশীল। উদাহরণস্বরূপ, সাইলেন্স গ্রুপ এটির জন্য CHM (Microsoft Compiled HTML Help) ফরম্যাটে ফাইল ব্যবহার করেছে। সুতরাং, আমাদের সামনে আরেকটি কৌশল রয়েছে - সংকলিত HTML ফাইল (T1223)। এই ধরনের ফাইল ব্যবহার করে চালু করা হয় hh.exeতাই, যদি আমরা এর প্রিফেচ ফাইল থেকে ডেটা বের করি, তাহলে আমরা খুঁজে পাব যে কোন ফাইলটি ভিকটিম খুলেছে:

আসল কেস থেকে উদাহরণ নিয়ে কাজ চালিয়ে যাওয়া যাক এবং পরবর্তী এক্সিকিউশন ট্যাকটিক (TA0002) এবং CSMTP টেকনিক (T1191) এ চলে যাক। মাইক্রোসফ্ট কানেকশন ম্যানেজার প্রোফাইল ইনস্টলার (CMSTP.exe) আক্রমণকারীরা ক্ষতিকারক স্ক্রিপ্ট চালানোর জন্য ব্যবহার করতে পারে। একটি ভাল উদাহরণ হল কোবাল্ট গ্রুপ। আমরা যদি প্রিফেচ ফাইল থেকে ডেটা বের করি cmstp.exe, তারপর আমরা আবার খুঁজে পেতে পারি ঠিক কি চালু হয়েছিল:

আরেকটি জনপ্রিয় কৌশল হল Regsvr32 (T1117)। Regsvr32.exe আক্রমণকারীরা প্রায়ই লঞ্চ করতে ব্যবহার করে। কোবল্ট গ্রুপ থেকে এখানে আরেকটি উদাহরণ: যদি আমরা একটি প্রিফেচ ফাইল থেকে ডেটা বের করি regsvr32.exe, তারপর আবার আমরা দেখতে পাব কি চালু হয়েছে:

পরবর্তী কৌশলগুলি হল Persistence (TA0003) এবং প্রিভিলেজ এসকেলেশন (TA0004), একটি কৌশল হিসাবে অ্যাপ্লিকেশন শিমিং (T1138) সহ। এই কৌশলটি Carbanak/FIN7 দ্বারা সিস্টেমটি নোঙ্গর করার জন্য ব্যবহার করা হয়েছিল। সাধারণত প্রোগ্রাম সামঞ্জস্যতা ডাটাবেস (.sdb) এর সাথে কাজ করতে ব্যবহৃত হয় sdbinst.exe. অতএব, এই এক্সিকিউটেবলের প্রিফেচ ফাইলটি আমাদের এই ধরনের ডাটাবেসের নাম এবং তাদের অবস্থানগুলি খুঁজে বের করতে সাহায্য করতে পারে:

আপনি চিত্রটিতে দেখতে পাচ্ছেন, আমাদের কাছে কেবল ইনস্টলেশনের জন্য ব্যবহৃত ফাইলের নাম নয়, ইনস্টল করা ডাটাবেসের নামও রয়েছে।

প্রশাসনিক শেয়ার (T0008) ব্যবহার করে নেটওয়ার্ক প্রচারের (TA1077), PsExec-এর সবচেয়ে সাধারণ উদাহরণগুলির একটির দিকে নজর দেওয়া যাক। PSEXECSVC নামের পরিষেবা (অবশ্যই, আক্রমণকারীরা প্যারামিটার ব্যবহার করলে অন্য কোনো নাম ব্যবহার করা যেতে পারে -r) টার্গেট সিস্টেমে তৈরি করা হবে, তাই, যদি আমরা প্রিফেচ ফাইল থেকে ডেটা বের করি, আমরা দেখতে পাব কী চালু হয়েছে:

আমি সম্ভবত যেখানে শুরু করেছি সেখানে শেষ করব - ফাইলগুলি মুছে ফেলা (T1107)। আমি ইতিমধ্যে উল্লেখ করেছি, অনেক আক্রমণকারী আক্রমণ জীবনচক্রের বিভিন্ন পর্যায়ে স্থায়ীভাবে ফাইল মুছে ফেলার জন্য SDelete ব্যবহার করে। আমরা যদি প্রিফেচ ফাইল থেকে ডেটা দেখি sdelete.exe, তারপর আমরা দেখতে পাব ঠিক কি মুছে ফেলা হয়েছে:

অবশ্যই, এটি প্রিফেচ ফাইলগুলির বিশ্লেষণের সময় আবিষ্কৃত কৌশলগুলির একটি সম্পূর্ণ তালিকা নয়, তবে এটি বোঝার জন্য এটি যথেষ্ট হওয়া উচিত যে এই ধরনের ফাইলগুলি শুধুমাত্র লঞ্চের চিহ্ন খুঁজে পেতেই নয়, নির্দিষ্ট আক্রমণকারী কৌশল এবং কৌশলগুলিকে পুনর্গঠন করতেও সাহায্য করতে পারে। .

উত্স: www.habr.com