Trace-Dateien oder Prefetch-Dateien gibt es seit Windows XP. Sie haben seitdem Fachleuten für digitale Forensik und Computerincident-Management geholfen, Spuren von Programmstarts, einschließlich bösartiger Software, zu finden. Der leitende Forensiker von Group-IB Oleg Skulkin berichtet, was mithilfe von Prefetch-Dateien gefunden werden kann und wie dies zu tun ist.
Prefetch-Dateien werden im Verzeichnis %SystemRoot%Prefetch gespeichert und dienen dazu, den Startprozess von Programmen zu beschleunigen. Wenn wir uns eine dieser Dateien ansehen, sehen wir, dass ihr Name aus zwei Teilen besteht: dem Namen der ausführbaren Datei und einer Prüfziffer des Pfades, die aus acht Zeichen besteht.
Prefetch-Dateien enthalten eine Vielzahl nützlicher Informationen aus forensischer Sicht: den Namen der ausführbaren Datei, die Anzahl ihrer Starts, Listen von Dateien und Verzeichnissen, mit denen die ausführbare Datei interagiert hat, und natürlich Zeitstempel. Üblicherweise verwenden Forensiker das Erstellungsdatum einer bestimmten Prefetch-Datei, um das Datum des ersten Programmstarts zu bestimmen. Darüber hinaus speichern diese Dateien das Datum des letzten Starts, und ab Version 26 (Windows 8.1) auch Zeitstempel der letzten sieben Starts.
Lassen Sie uns eine der Prefetch-Dateien nehmen, die Daten mit den Mitteln von PECmd von Eric Zimmermann extrahieren und uns jeden Teil ansehen. Zu Demonstrationszwecken werde ich Daten aus der Datei CCLEANER64.EXE-DE05DBE1.pf.
entnehmen. Fangen wir also oben an. Natürlich haben wir die Zeitstempel für die Erstellung, Modifikation und den Zugriff auf die Datei:
Darauf folgt der Name der ausführbaren Datei, die Prüfziffer des Pfades zu ihr, die Größe der ausführbaren Datei sowie die Version der Prefetch-Datei:
Da wir es mit Windows 10 zu tun haben, sehen wir als Nächstes die Anzahl der Starts, das Datum und die Uhrzeit des letzten Starts und weitere sieben Zeitstempel, die auf vorherige Startdaten hinweisen:
Darauf folgt die Information über das Laufwerk, einschließlich der Seriennummer und des Erstellungsdatums:
Und schließlich, aber nicht weniger wichtig – eine Liste der Verzeichnisse und Dateien, mit denen die ausführbare Datei interagiert hat:
Die Kataloge und Dateien, mit denen die ausführbare Datei interagiert hat, sind genau das, worauf ich mich heute konzentrieren möchte. Diese Daten ermöglichen es Fachleuten für digitale Forensik, Reaktion auf Computervorfälle oder proaktive Bedrohungssuche, nicht nur festzustellen, ob eine bestimmte Datei ausgeführt wurde, sondern in einigen Fällen auch spezifische Taktiken und Techniken der Angreifer zu rekonstruieren. Heute verwenden Angreifer häufig Werkzeuge zum unwiederbringlichen Löschen von Daten, zum Beispiel SDelete, weshalb die Fähigkeit, zumindest Spuren der Nutzung bestimmter Taktiken und Techniken wiederherzustellen, für jeden modernen Verteidiger – digitale Kriminalisten, Fachleute für Incident Response, Threat Hunter-Experten – unerlässlich ist.
Lass uns mit der Taktik Initial Access (TA0001) und der beliebtesten Technik – Spearphishing Attachment (T1193) – beginnen. Einige Cyberkriminelle Gruppen wählen solche Anhänge ziemlich kreativ aus. So hat die Gruppe Silence dafür Dateien im CHM-Format (Microsoft Compiled HTML Help) verwendet. Damit haben wir noch eine Technik – Compiled HTML File (T1223). Solche Dateien werden über hh.exeausgeführt, daher erfahren wir durch das Extrahieren von Daten aus seiner Prefetch-Datei, welche Datei von dem Opfer geöffnet wurde:
Lass uns mit Beispielen aus echten Fällen fortfahren und zur nächsten Taktik Execution (TA0002) und der Technik CSMTP (T1191) übergehen. Microsoft Connection Manager Profile Installer (CMSTP.exe) kann von Angreifern genutzt werden, um schadhafte Skripte auszuführen. Ein gutes Beispiel ist die Gruppe Cobalt. Wenn wir Daten aus der Prefetch-Datei cmstp.exeextrahieren, können wir erneut feststellen, was genau ausgeführt wurde:
Eine weitere beliebte Technik ist Regsvr32 (T1117). Regsvr32.exe wird ebenfalls häufig von Angreifern zum Ausführen verwendet. Hier ein weiteres Beispiel von der Gruppe Cobalt: Wenn wir Daten aus der Prefetch-Datei regsvr32.exe, sehen wir erneut, was ausgeführt wurde:
Die nächsten Taktiken sind Persistence (TA0003) und Privilege Escalation (TA0004), sowie Application Shimming (T1138) als Technik. Diese Technik wurde von Carbanak/FIN7 zur Etablierung im System verwendet. Normalerweise wird für die Arbeit mit Datenbanken, die Informationen über die Kompatibilität von Programmen enthalten (.sdb), sdbinst.exeverwendet. Daher kann die Prefetch-Datei dieser ausführbaren Datei uns helfen, die Namen solcher Datenbanken und deren Standort herauszufinden:
Wie auf der Abbildung zu sehen ist, haben wir nicht nur den Dateinamen, der für die Installation verwendet wurde, sondern auch den Namen der installierten Datenbank.
Werfen wir einen Blick auf eines der typischen Beispiele für Netzwerkkompromittierungen (TA0008) – PsExec, das administrative Freigaben (T1077) nutzt. Ein Dienst mit dem Namen PSEXECSVC (natürlich kann auch ein anderer Name verwendet werden, wenn die Angreifer den Parameter benutzt haben -r) wird auf dem Zielsystem erstellt, daher werden wir, wenn wir die Daten aus der Prefetch-Datei extrahieren, sehen, was gestartet wurde:
Ich werde wohl mit dem enden, womit ich begonnen habe – dem Löschen von Dateien (T1107). Wie ich bereits erwähnt habe, verwenden viele Angreifer SDelete, um Dateien in verschiedenen Phasen des Angriffszyklus unwiderruflich zu löschen. Wenn wir die Daten aus der Prefetch-Datei betrachten, sdelete.exe, werden wir sehen, was tatsächlich gelöscht wurde:
Natürlich ist dies keine umfassende Liste von Techniken, die bei der Analyse von Prefetch-Dateien entdeckt werden können, aber es sollte ausreichen, um zu verstehen, dass solche Dateien nicht nur helfen können, Spuren von Starts zu finden, sondern auch spezifische Taktiken und Techniken der Angreifer zu rekonstruieren.
Quelle: habr.com
