{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Vi aktiverer indsamlingen af begivenheder om opstart af mist\u00e6nkelige processer i Windows og identificerer trusler ved hj\u00e6lp af Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Vi
\n
\nEn af de almindelige typer angreb er skabelsen af et ondsindet proces i et tr\u00e6 af ganske almindelige processer. Mistanke kan opst\u00e5 over for stien til den eksekverbare fil: ondsindet software bruger ofte mapper som AppData eller Temp, hvilket ikke er karakteristisk for legitime programmer. For retf\u00e6rdighedens skyld skal det n\u00e6vnes, at nogle v\u00e6rkt\u00f8jer til automatisk opdatering k\u00f8res fra AppData, s\u00e5 en blot kontrol af startstedet er ikke nok til at konkludere, at programmet er ondsindet.<\/p>\n

En yderligere faktor for legitimitet er den kryptografiske signatur: mange originale programmer er signeret af leverand\u00f8ren. Man kan bruge frav\u00e6ret af signaturen som en metode til at identificere mist\u00e6nkelige elementer i opstarten. Men igen er der ondsindet software, der bruger et stj\u00e5let certifikat til at signere sig selv.<\/p>\n

Man kan ogs\u00e5 tjekke v\u00e6rdien af de kryptografiske hashes MD5 eller SHA256, som kan matche nogle tidligere opdagede ondsindede programmer. Man kan udf\u00f8re statisk analyse ved at gennemg\u00e5 signaturer i programmet (ved hj\u00e6lp af Yara-regler eller antivirusprodukter). Desuden findes der dynamisk analyse (k\u00f8rsel af programmet i en sikker milj\u00f8 og overv\u00e5gning af dets handlinger) og reverse engineering.<\/p>\n

Der kan v\u00e6re mange tegn p\u00e5 et ondsindet proces. I denne artikel vil vi vise, hvordan man aktiverer revision af de relevante begivenheder i Windows, og vi vil gennemg\u00e5 de tegn, som det indbyggede regelsystem er baseret p\u00e5, InTrust<\/a><\/noindex> for at identificere et mist\u00e6nkeligt proces. InTrust er en CLM-platform<\/a><\/noindex> til indsamling, analyse og opbevaring af ustrukturerede data, som allerede har hundreder af forudinstallerede reaktioner p\u00e5 forskellige typer angreb.
\n<\/a><\/noindex>
\nN\u00e5r programmet startes, indl\u00e6ses det i computerens hukommelse. Den eksekverbare fil indeholder computerinstruktioner og hj\u00e6lpebiblioteker (f.eks. *.dll). N\u00e5r processen er startet, kan den oprette yderligere tr\u00e5de. Tr\u00e5de g\u00f8r det muligt for processen at udf\u00f8re forskellige s\u00e6t instruktioner samtidig. Der er mange m\u00e5der, hvorp\u00e5 ondsindet kode kan tr\u00e6nge ind i hukommelsen og starte, lad os se p\u00e5 nogle af dem.<\/p>\n

Den nemmeste m\u00e5de at starte en skadelig proces p\u00e5 er at f\u00e5 brugeren til at k\u00f8re den direkte (f.eks. fra en e-mailvedh\u00e6ftning), hvorefter man ved hj\u00e6lp af RunOnce-n\u00f8glen k\u00f8rer den ved hver opstart af computeren. Dette inkluderer ogs\u00e5 \"fileless\" malware, der gemmer PowerShell-scripts i registreringsn\u00f8gler, som udf\u00f8res baseret p\u00e5 en trigger. I dette tilf\u00e6lde er PowerShell-scriptet skadelig kode.<\/p>\n

Problemet med eksplicit at k\u00f8re skadelig software er, at det er en kendt tilgang, der let kan opdages. Nogle skadelige programmer g\u00f8r mere snedige ting, f.eks. ved at bruge en anden proces til at starte og k\u00f8re i hukommelsen. F\u00f8lgelig kan processen oprette en anden proces ved at k\u00f8re en bestemt computerinstruktion og angive en eksekverbar fil (.exe) til k\u00f8rsel.<\/p>\n

En fil kan angives ved at bruge den fulde sti (f.eks. C:Windowsystem32cmd.exe) eller en delvis sti (f.eks. cmd.exe). Hvis den originale proces ikke er sikker, kan den tillade uretm\u00e6ssige programmer at k\u00f8re. Et angreb kan se s\u00e5ledes ud: processen starter cmd.exe uden at angive den fulde sti, og angriberen placerer sin cmd.exe et sted, hvor processen k\u00f8rer den f\u00f8r den legitime. N\u00e5r den skadelige program er startet, kan den igen starte et legitimt program (f.eks. C:Windowsystem32cmd.exe), s\u00e5 den originale program forts\u00e6tter med at fungere korrekt.<\/p>\n

En variant af den tidligere angreb er DLL-injektion i en legitim proces. N\u00e5r processen startes, finder og indl\u00e6ser den biblioteker, der udvider dens funktionalitet. Ved at bruge DLL-injektion opretter angriberen et skadelig bibliotek med samme navn og API som det legitime. Programmet indl\u00e6ser det skadelige bibliotek, som derefter indl\u00e6ser det legitime, og n\u00e5r det er n\u00f8dvendigt, kalder det det til udf\u00f8relse af operationer. Det skadelige bibliotek begynder at fungere som en proxy for det gode bibliotek.<\/p>\n

En anden metode til at injicere skadelig kode i hukommelsen er at inds\u00e6tte den i en usikker proces, der allerede er i gang. Processer modtager input fra forskellige kilder \u2014 de l\u00e6ser fra netv\u00e6rket eller filer. Normalt udf\u00f8rer de validering for at sikre legitimiteten af input. Men nogle processer har ikke tilstr\u00e6kkelig beskyttelse ved udf\u00f8relse af instruktioner. Ved en s\u00e5dan angreb findes der ikke en bibliotek p\u00e5 disken eller en eksekverbar fil med skadelig kode. Alt opbevares i hukommelsen sammen med den udnyttede proces.<\/p>\n

Lad os nu se p\u00e5 metoden til at aktivere indsamling af s\u00e5danne h\u00e6ndelser i Windows og reglen i InTrust, som implementerer beskyttelse mod s\u00e5danne trusler. F\u00f8rst aktiverer vi det via InTrust administrationskonsol.<\/p>\n

\"Vi
\n
\nReglen udnytter mulighederne for procesoverv\u00e5gning i Windows OS. Desv\u00e6rre er det ikke indlysende at aktivere indsamling af s\u00e5danne h\u00e6ndelser. Du skal \u00e6ndre 3 forskellige gruppPolitikindstillinger:<\/p>\n

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy > Audit process tracking<\/b><\/p>\n

\"Vi
\n
\nComputer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies > Detailed Tracking > Audit process creation<\/b><\/p>\n

\"Vi
\n
\nComputer Configuration > Policies > Administrative Templates > System > Audit Process Creation > Include command line in process creation events<\/b><\/p>\n

\"Vi
\n
\nN\u00e5r det er aktiveret, tillader InTrust-regler at opdage hidtil ukendte trusler, der udviser mist\u00e6nkelig adf\u00e6rd. For eksempel kan man identificere det, der er beskrevet her<\/a><\/noindex> den skadelige software Dridex. Takket v\u00e6re HP Bromium-initiativet ved man nu, hvordan en s\u00e5dan trussel fungerer.<\/p>\n

\"Vi
\n
\nI r\u00e6kken af sine handlinger bruger Dridex schtasks.exe til at oprette en planlagt opgave. Brugen af netop dette v\u00e6rkt\u00f8j fra kommandolinjen betragtes som meget mist\u00e6nkelig adf\u00e6rd, ligesom det ligner at starte svchost.exe med parametre, der peger p\u00e5 brugerens mapper, eller med parametre, der ligner kommandoer som \u00abnet view\u00bb eller \u00abwhoami\u00bb. Her er et uddrag af den relevante SIGMA-regel<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nI InTrust er al mist\u00e6nkelig adf\u00e6rd samlet under \u00e9n regel, da de fleste af disse handlinger ikke er specifikke for en bestemt trussel, men snarere er mist\u00e6nkelige i komplekset og i 99% af tilf\u00e6ldene bruges til mindre noble form\u00e5l. Denne liste over handlinger inkluderer, men er ikke begr\u00e6nset til:<\/p>\n