{"id":41614,"date":"2020-02-13T20:48:26","date_gmt":"2020-02-13T17:48:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov"},"modified":"2020-02-13T20:48:26","modified_gmt":"2020-02-13T17:48:26","slug":"ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","title":{"rendered":"Vi jager teknikker og taktikker til angribere ved brug af Prefetch-filer.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Vi
\n
\nTrace-filer, eller Prefetch-filer, har eksisteret i Windows siden tidernes XP. Siden da har de hjulpet eksperter inden for digital retsmedicin og respons p\u00e5 computerh\u00e6ndelser med at finde spor efter programmets start, inklusive skadelig software. Ledende ekspert i computerkriminalitet hos Group-IB. Oleg Skulkin<\/b> fort\u00e6ller, hvad man kan finde ved hj\u00e6lp af Prefetch-filer, og hvordan man g\u00f8r det.<\/a><\/noindex><\/p>\n

Prefetch-filer opbevares i mappen %SystemRoot%Prefetch<\/b> og bruges til at accelerere programstart. Hvis vi ser p\u00e5 en af disse filer, vil vi se, at dens navn best\u00e5r af to dele: navnet p\u00e5 eksekveringsfilen og en checksum fra stien til den, der best\u00e5r af otte tegn.<\/p>\n

Prefetch-filer indeholder en masse nyttig information set fra et retsmedicinsk perspektiv: navnet p\u00e5 eksekveringsfilen, antallet af dens start, lister over filer og mapper, som eksekveringsfilen har interageret med, og selvf\u00f8lgelig tidsstempler. Som regel bruger retsmedicinere datoen for oprettelse af en given Prefetch-fil til at bestemme datoen for f\u00f8rste start af programmet. Derudover gemmer disse filer datoen for dens seneste start, og fra version 26 (Windows 8.1) indeholder de tidsstempler for de sidste syv starter.<\/p>\n

Lad os tage en af Prefetch-filerne, udtr\u00e6kke data fra den ved hj\u00e6lp af PECmd fra Erik Zimmermann, og se p\u00e5 hver del. Til demonstration vil jeg udtr\u00e6kke data fra filen CCLEANER64.EXE-DE05DBE1.pf<\/b>.<\/p>\n

S\u00e5 lad os starte oppefra. Selvf\u00f8lgelig har vi tidsstempler for oprettelse, \u00e6ndring og adgang til filen:<\/p>\n

\"Vi
\nEfterf\u00f8lgende f\u00f8lger navnet p\u00e5 eksekveringsfilen, checksummen for stien, st\u00f8rrelsen p\u00e5 eksekveringsfilen og versionen af Prefetch-filen:<\/p>\n

\"Vi
\nDa vi har med Windows 10 at g\u00f8re, ser vi derefter antallet af starter, dato og tid for den seneste start samt yderligere syv tidsstempler, der angiver tidligere startdatoer:<\/p>\n

\"Vi
\nEfter dette f\u00f8lger information om drevet, inklusive dets serienummer og oprettelsesdato:<\/p>\n

\"Vi
\nOg sidst, men ikke mindst, en liste over mapper og filer, som eksekveringsfilen har interageret med: <\/p>\n

\"Vi
\nS\u00e5, katalogerne og filerne, som den eksekverbare fil interagerede med, er pr\u00e6cis hvad jeg vil fokusere p\u00e5 i dag. Det er disse data, der g\u00f8r det muligt for specialister inden for digital kriminalteknik, reaktion p\u00e5 computeranslag eller proaktiv trusselss\u00f8gning at fastsl\u00e5 ikke blot om en bestemt fil er blevet eksekveret, men ogs\u00e5 i nogle tilf\u00e6lde at rekonstruere specifikke taktikker og teknikker fra angriberne. I dag bruger kriminelle ofte v\u00e6rkt\u00f8jer til permanent sletning af data, s\u00e5som SDelete, s\u00e5 evnen til at genskabe sporene af brugen af s\u00e5danne taktikker og teknikker er helt n\u00f8dvendig for enhver moderne beskytter \u2014 en computerkriminalist, en specialist i reaktion p\u00e5 h\u00e6ndelser, ThreatHunter-ekspert.<\/p>\n

Lad os begynde med taktikken Initial Access (TA0001) og den mest popul\u00e6re teknik \u2014 Spearphishing Attachment (T1193). Nogle cyberkriminelle grupper har en ret kreativ tilgang til valget af s\u00e5danne vedh\u00e6ftninger. For eksempel brugte gruppen Silence CHM-filer (Microsoft Compiled HTML Help) til dette. S\u00e5 her har vi endnu en teknik \u2014 Compiled HTML File (T1223). Disse filer eksekveres ved hj\u00e6lp af hh.exe<\/b>, derfor vil vi, hvis vi udtr\u00e6kker data fra dens Prefetch-fil, finde ud af, hvilken specifik fil offeret \u00e5bnede:<\/p>\n

\"Vi
\nLad os forts\u00e6tte med eksempler fra virkelige sager og g\u00e5 videre til den n\u00e6ste taktik Execution (TA0002) og teknikken CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) kan bruges af angribere til at eksekvere ondsindede scripts. Et godt eksempel er gruppen Cobalt. Hvis vi udtr\u00e6kker data fra Prefetch-filen cmstp.exe<\/b>, kan vi igen finde ud af, hvad der blev k\u00f8rt:<\/p>\n

\"Vi
\nEn anden popul\u00e6r teknik er Regsvr32 (T1117). Regsvr32.exe<\/b> bruges ogs\u00e5 ofte af angribere til at k\u00f8re. Her er endnu et eksempel fra gruppen Cobalt: hvis vi udtr\u00e6kker data fra Prefetch-filen regsvr32.exe<\/b>, vil vi igen se, hvad der blev k\u00f8rt:<\/p>\n

\"Vi
\nDe n\u00e6ste taktikker er Persistence (TA0003) og Privilege Escalation (TA0004), samt Application Shimming (T1138) som teknik. Denne teknik blev brugt af Carbanak\/FIN7 til at forankre sig i systemet. Normalt bruges sdbinst.exe<\/b>til at arbejde med databaser, der indeholder oplysninger om programkompatibilitet (.sdb), s\u00e5 derfor kan Prefetch-filen for denne eksekverbare fil hj\u00e6lpe os med at finde navne og placeringer af s\u00e5danne databaser:<\/p>\n

\"Vi
\nSom tydeligt vist i illustrationen, har vi ikke kun navnet p\u00e5 filen, der blev brugt til installationen, men ogs\u00e5 navnet p\u00e5 den installerede database.<\/p>\n

Lad os se p\u00e5 et af de mest typiske eksempler p\u00e5 online marketing (TA0008) \u2014 PsExec, der bruger administrative delte ressourcer (T1077). En tjeneste med navnet PSEXECSVC (selvf\u00f8lgelig kan et hvilket som helst andet navn ogs\u00e5 anvendes, hvis angriberne brugte parameteren -r<\/b>) vil blive oprettet p\u00e5 det m\u00e5linformerede system, derfor, hvis vi udtr\u00e6kker data fra Prefetch-filen, vil vi se, hvad der blev k\u00f8rt:<\/p>\n

\"Vi
\nJeg slutter m\u00e5ske, hvor jeg startede \u2014 sletning af filer (T1107). Som jeg tidligere har n\u00e6vnt, bruger mange angribere SDelete til permanent at slette filer p\u00e5 forskellige stadier af angrebscyklussen. Hvis vi ser p\u00e5 dataene fra Prefetch-filen sdelete.exe<\/b>, vil vi se, hvad der pr\u00e6cist blev slettet:<\/p>\n

\"Vi<\/p>\n

Selvf\u00f8lgelig er dette ikke en udt\u00f8mmende liste over teknikker, der kan opdages gennem analysen af Prefetch-filer, men dette burde v\u00e6re mere end nok til at forst\u00e5, at s\u00e5danne filer kan hj\u00e6lpe med ikke bare at finde spor af launches, men ogs\u00e5 rekonstruere specifikke taktik og teknikker fra angriberne.
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0424\u0430\u0439\u043b\u044b \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438, \u0438\u043b\u0438 Prefetch-\u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Windows \u0435\u0449\u0435 \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d XP. \u0421 \u0442\u0435\u0445 \u043f\u043e\u0440 \u043e\u043d\u0438 \u043f\u043e\u043c\u043e\u0433\u0430\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c \u043f\u043e \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445. \u0412\u0435\u0434\u0443\u0449\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 Group-IB \u041e\u043b\u0435\u0433 \u0421\u043a\u0443\u043b\u043a\u0438\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. Prefetch-\u0444\u0430\u0439\u043b\u044b \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":41615,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41614","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Jager teknikker og taktik fra angriberne ved hj\u00e6lp af Prefetch-filer | ProHoster","description":"Filer.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0445\u043e\u0442\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 | ProHoster","og:description":"\u0424\u0430\u0439\u043b\u044b.","og:url":"https:\/\/prohoster.info\/da\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-13T17:48:26+00:00","article:modified_time":"2020-02-13T17:48:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41614","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:13:40","updated":"2022-09-28 14:43:35","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/41614","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=41614"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/41614\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/41615"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=41614"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=41614"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=41614"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}