{"id":41614,"date":"2020-02-13T20:48:26","date_gmt":"2020-02-13T17:48:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov"},"modified":"2020-02-13T20:48:26","modified_gmt":"2020-02-13T17:48:26","slug":"ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","title":{"rendered":"Wir jagen nach Angriffs-Techniken und -Taktiken unter Verwendung von Prefetch-Dateien","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wir
\n
\nTrace-Dateien oder Prefetch-Dateien gibt es seit Windows XP. Sie haben seitdem Fachleuten f\u00fcr digitale Forensik und Computerincident-Management geholfen, Spuren von Programmstarts, einschlie\u00dflich b\u00f6sartiger Software, zu finden. Der leitende Forensiker von Group-IB Oleg Skulkin<\/b> berichtet, was mithilfe von Prefetch-Dateien gefunden werden kann und wie dies zu tun ist.<\/a><\/noindex><\/p>\n

Prefetch-Dateien werden im Verzeichnis %SystemRoot%Prefetch<\/b> gespeichert und dienen dazu, den Startprozess von Programmen zu beschleunigen. Wenn wir uns eine dieser Dateien ansehen, sehen wir, dass ihr Name aus zwei Teilen besteht: dem Namen der ausf\u00fchrbaren Datei und einer Pr\u00fcfziffer des Pfades, die aus acht Zeichen besteht.<\/p>\n

Prefetch-Dateien enthalten eine Vielzahl n\u00fctzlicher Informationen aus forensischer Sicht: den Namen der ausf\u00fchrbaren Datei, die Anzahl ihrer Starts, Listen von Dateien und Verzeichnissen, mit denen die ausf\u00fchrbare Datei interagiert hat, und nat\u00fcrlich Zeitstempel. \u00dcblicherweise verwenden Forensiker das Erstellungsdatum einer bestimmten Prefetch-Datei, um das Datum des ersten Programmstarts zu bestimmen. Dar\u00fcber hinaus speichern diese Dateien das Datum des letzten Starts, und ab Version 26 (Windows 8.1) auch Zeitstempel der letzten sieben Starts.<\/p>\n

Lassen Sie uns eine der Prefetch-Dateien nehmen, die Daten mit den Mitteln von PECmd von Eric Zimmermann extrahieren und uns jeden Teil ansehen. Zu Demonstrationszwecken werde ich Daten aus der Datei CCLEANER64.EXE-DE05DBE1.pf<\/b>.<\/p>\n

entnehmen. Fangen wir also oben an. Nat\u00fcrlich haben wir die Zeitstempel f\u00fcr die Erstellung, Modifikation und den Zugriff auf die Datei:<\/p>\n

\"Wir
\nDarauf folgt der Name der ausf\u00fchrbaren Datei, die Pr\u00fcfziffer des Pfades zu ihr, die Gr\u00f6\u00dfe der ausf\u00fchrbaren Datei sowie die Version der Prefetch-Datei:<\/p>\n

\"Wir
\nDa wir es mit Windows 10 zu tun haben, sehen wir als N\u00e4chstes die Anzahl der Starts, das Datum und die Uhrzeit des letzten Starts und weitere sieben Zeitstempel, die auf vorherige Startdaten hinweisen:<\/p>\n

\"Wir
\nDarauf folgt die Information \u00fcber das Laufwerk, einschlie\u00dflich der Seriennummer und des Erstellungsdatums:<\/p>\n

\"Wir
\nUnd schlie\u00dflich, aber nicht weniger wichtig \u2013 eine Liste der Verzeichnisse und Dateien, mit denen die ausf\u00fchrbare Datei interagiert hat: <\/p>\n

\"Wir
\nDie Kataloge und Dateien, mit denen die ausf\u00fchrbare Datei interagiert hat, sind genau das, worauf ich mich heute konzentrieren m\u00f6chte. Diese Daten erm\u00f6glichen es Fachleuten f\u00fcr digitale Forensik, Reaktion auf Computervorf\u00e4lle oder proaktive Bedrohungssuche, nicht nur festzustellen, ob eine bestimmte Datei ausgef\u00fchrt wurde, sondern in einigen F\u00e4llen auch spezifische Taktiken und Techniken der Angreifer zu rekonstruieren. Heute verwenden Angreifer h\u00e4ufig Werkzeuge zum unwiederbringlichen L\u00f6schen von Daten, zum Beispiel SDelete, weshalb die F\u00e4higkeit, zumindest Spuren der Nutzung bestimmter Taktiken und Techniken wiederherzustellen, f\u00fcr jeden modernen Verteidiger \u2013 digitale Kriminalisten, Fachleute f\u00fcr Incident Response, Threat Hunter-Experten \u2013 unerl\u00e4sslich ist.<\/p>\n

Lass uns mit der Taktik Initial Access (TA0001) und der beliebtesten Technik \u2013 Spearphishing Attachment (T1193) \u2013 beginnen. Einige Cyberkriminelle Gruppen w\u00e4hlen solche Anh\u00e4nge ziemlich kreativ aus. So hat die Gruppe Silence daf\u00fcr Dateien im CHM-Format (Microsoft Compiled HTML Help) verwendet. Damit haben wir noch eine Technik \u2013 Compiled HTML File (T1223). Solche Dateien werden \u00fcber hh.exe<\/b>ausgef\u00fchrt, daher erfahren wir durch das Extrahieren von Daten aus seiner Prefetch-Datei, welche Datei von dem Opfer ge\u00f6ffnet wurde:<\/p>\n

\"Wir
\nLass uns mit Beispielen aus echten F\u00e4llen fortfahren und zur n\u00e4chsten Taktik Execution (TA0002) und der Technik CSMTP (T1191) \u00fcbergehen. Microsoft Connection Manager Profile Installer (CMSTP.exe) kann von Angreifern genutzt werden, um schadhafte Skripte auszuf\u00fchren. Ein gutes Beispiel ist die Gruppe Cobalt. Wenn wir Daten aus der Prefetch-Datei cmstp.exe<\/b>extrahieren, k\u00f6nnen wir erneut feststellen, was genau ausgef\u00fchrt wurde:<\/p>\n

\"Wir
\nEine weitere beliebte Technik ist Regsvr32 (T1117). Regsvr32.exe<\/b> wird ebenfalls h\u00e4ufig von Angreifern zum Ausf\u00fchren verwendet. Hier ein weiteres Beispiel von der Gruppe Cobalt: Wenn wir Daten aus der Prefetch-Datei regsvr32.exe<\/b>, sehen wir erneut, was ausgef\u00fchrt wurde:<\/p>\n

\"Wir
\nDie n\u00e4chsten Taktiken sind Persistence (TA0003) und Privilege Escalation (TA0004), sowie Application Shimming (T1138) als Technik. Diese Technik wurde von Carbanak\/FIN7 zur Etablierung im System verwendet. Normalerweise wird f\u00fcr die Arbeit mit Datenbanken, die Informationen \u00fcber die Kompatibilit\u00e4t von Programmen enthalten (.sdb), sdbinst.exe<\/b>verwendet. Daher kann die Prefetch-Datei dieser ausf\u00fchrbaren Datei uns helfen, die Namen solcher Datenbanken und deren Standort herauszufinden:<\/p>\n

\"Wir
\nWie auf der Abbildung zu sehen ist, haben wir nicht nur den Dateinamen, der f\u00fcr die Installation verwendet wurde, sondern auch den Namen der installierten Datenbank.<\/p>\n

Werfen wir einen Blick auf eines der typischen Beispiele f\u00fcr Netzwerkkompromittierungen (TA0008) \u2013 PsExec, das administrative Freigaben (T1077) nutzt. Ein Dienst mit dem Namen PSEXECSVC (nat\u00fcrlich kann auch ein anderer Name verwendet werden, wenn die Angreifer den Parameter benutzt haben -r<\/b>) wird auf dem Zielsystem erstellt, daher werden wir, wenn wir die Daten aus der Prefetch-Datei extrahieren, sehen, was gestartet wurde:<\/p>\n

\"Wir
\nIch werde wohl mit dem enden, womit ich begonnen habe \u2013 dem L\u00f6schen von Dateien (T1107). Wie ich bereits erw\u00e4hnt habe, verwenden viele Angreifer SDelete, um Dateien in verschiedenen Phasen des Angriffszyklus unwiderruflich zu l\u00f6schen. Wenn wir die Daten aus der Prefetch-Datei betrachten, sdelete.exe<\/b>, werden wir sehen, was tats\u00e4chlich gel\u00f6scht wurde:<\/p>\n

\"Wir<\/p>\n

Nat\u00fcrlich ist dies keine umfassende Liste von Techniken, die bei der Analyse von Prefetch-Dateien entdeckt werden k\u00f6nnen, aber es sollte ausreichen, um zu verstehen, dass solche Dateien nicht nur helfen k\u00f6nnen, Spuren von Starts zu finden, sondern auch spezifische Taktiken und Techniken der Angreifer zu rekonstruieren.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0424\u0430\u0439\u043b\u044b \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438, \u0438\u043b\u0438 Prefetch-\u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Windows \u0435\u0449\u0435 \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d XP. \u0421 \u0442\u0435\u0445 \u043f\u043e\u0440 \u043e\u043d\u0438 \u043f\u043e\u043c\u043e\u0433\u0430\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c \u043f\u043e \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445. \u0412\u0435\u0434\u0443\u0449\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 Group-IB \u041e\u043b\u0435\u0433 \u0421\u043a\u0443\u043b\u043a\u0438\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. Prefetch-\u0444\u0430\u0439\u043b\u044b \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":41615,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41614","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Auf der Jagd nach Techniken und Taktiken der Angreifer mithilfe von Prefetch-Dateien | ProHoster","description":"Dateien.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0445\u043e\u0442\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 | ProHoster","og:description":"\u0424\u0430\u0439\u043b\u044b.","og:url":"https:\/\/prohoster.info\/de\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-13T17:48:26+00:00","article:modified_time":"2020-02-13T17:48:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41614","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:13:40","updated":"2022-09-28 14:43:35","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41614","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=41614"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/41614\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/41615"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=41614"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=41614"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=41614"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}