{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Wir aktivieren die Sammlung von Ereignissen zu verd\u00e4chtigen Prozessen in Windows und identifizieren Bedrohungen mit Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wir
\n
\nEine h\u00e4ufige Art von Angriffen ist die Ausf\u00fchrung eines sch\u00e4dlichen Prozesses innerhalb von scheinbar harmlosen Prozessen. Verdacht kann durch den Pfad zur ausf\u00fchrbaren Datei aufkommen: H\u00e4ufig nutzt Malware die Ordner AppData oder Temp, was f\u00fcr legitime Programme untypisch ist. Gerechterweise sollte erw\u00e4hnt werden, dass einige Update-Utilities in AppData ausgef\u00fchrt werden, weshalb eine blo\u00dfe \u00dcberpr\u00fcfung des Startorts nicht ausreicht, um zu behaupten, dass ein Programm sch\u00e4dlich ist.<\/p>\n

Ein weiterer Faktor f\u00fcr die Legitimit\u00e4t ist die kryptografische Signatur: Viele Originalprogramme sind vom Anbieter signiert. Das Fehlen einer Signatur kann als Methode zur Identifizierung verd\u00e4chtiger Autostart-Elemente verwendet werden. Aber erneut gibt es auch Malware, die ein gestohlenes Zertifikat verwendet, um sich selbst zu signieren.<\/p>\n

Es ist auch m\u00f6glich, die Werte von kryptografischen Hashes wie MD5 oder SHA256 zu \u00fcberpr\u00fcfen, die m\u00f6glicherweise bestimmten bereits entdeckten Malware-Exemplaren entsprechen. Eine statische Analyse kann durch Inspektion der Signaturen innerhalb der Software (mithilfe von Yara-Regeln oder Antivirenprodukten) erfolgen. Dar\u00fcber hinaus gibt es dynamische Analysen (das Ausf\u00fchren der Software in einer sicheren Umgebung und die Beobachtung ihres Verhaltens) und Reverse Engineering.<\/p>\n

Es kann viele Anzeichen f\u00fcr einen b\u00f6sartigen Prozess geben. In diesem Artikel erkl\u00e4ren wir, wie man die \u00dcberwachung entsprechender Ereignisse in Windows aktiviert und welche Anzeichen dabei ber\u00fccksichtigt werden, basierend auf der integrierten Regel InTrust<\/a><\/noindex> zur Erkennung verd\u00e4chtiger Prozesse. InTrust ist eine CLM-Plattform<\/a><\/noindex> zum Sammeln, Analysieren und Speichern von unstrukturierten Daten, die bereits Hunderte von vorgefertigten Reaktionen auf verschiedene Arten von Angriffen enth\u00e4lt.
\n<\/a><\/noindex>
\nWenn ein Programm gestartet wird, wird es in den Arbeitsspeicher des Computers geladen. Die ausf\u00fchrbare Datei enth\u00e4lt Computeranweisungen und unterst\u00fctzende Bibliotheken (wie z. B. *.dll). Nachdem der Prozess bereits gestartet wurde, kann er zus\u00e4tzliche Threads erstellen. Threads erm\u00f6glichen es dem Prozess, verschiedene Anweisungssets gleichzeitig auszuf\u00fchren. Es gibt viele M\u00f6glichkeiten, wie schadhafter Code in den Speicher gelangen und ausgef\u00fchrt werden kann. Schauen wir uns einige davon an.<\/p>\n

Die einfachste Methode, einen sch\u00e4dlichen Prozess zu starten, besteht darin, den Benutzer zu zwingen, ihn direkt auszuf\u00fchren (z. B. aus einem E-Mail-Anhang). Danach kann er mithilfe des RunOnce-Schl\u00fcssels bei jedem Einschalten des Computers gestartet werden. Dazu geh\u00f6rt auch \u201edateiloses\u201c Malware, das PowerShell-Skripte in Registrierungs-Schl\u00fcsseln speichert, die basierend auf einem Trigger ausgef\u00fchrt werden. In diesem Fall ist das PowerShell-Skript der schadhafte Code.<\/p>\n

Ein Problem bei der offensichtlichen Ausf\u00fchrung von Malware ist, dass es sich um einen bekannten Ansatz handelt, der leicht entdeckt werden kann. Einige Malware-Programme verwenden geschicktere Methoden, indem sie einen anderen Prozess nutzen, um im Speicher ausgef\u00fchrt zu werden. Folglich kann der Prozess einen anderen Prozess erstellen, indem er einen bestimmten Computerbefehl ausf\u00fchrt und die ausf\u00fchrbare Datei (.exe) angibt, die gestartet werden soll.<\/p>\n

Die Datei kann entweder mit dem vollst\u00e4ndigen Pfad angegeben werden (z. B. C:\\Windows\\system32\\cmd.exe) oder mit einem unvollst\u00e4ndigen (z. B. cmd.exe). Wenn der urspr\u00fcngliche Prozess unsicher ist, erlaubt er die Ausf\u00fchrung von illegitimen Programmen. Ein Angriff k\u00f6nnte so aussehen: Der Prozess startet cmd.exe, ohne den vollst\u00e4ndigen Pfad anzugeben, und der Angreifer platziert seine eigene cmd.exe an einem Ort, an dem der Prozess sie vor der legitimen ausf\u00fchrt. Nach dem Start der Malware kann diese wiederum ein legitimes Programm (z. B. C:\\Windows\\system32\\cmd.exe) ausf\u00fchren, damit das urspr\u00fcngliche Programm weiterhin ordnungsgem\u00e4\u00df funktioniert.<\/p>\n

Eine Variante des vorherigen Angriffs ist die DLL-Injektion in einen legitimen Prozess. Wenn der Prozess gestartet wird, sucht er nach und l\u00e4dt Bibliotheken, die seine Funktionalit\u00e4t erweitern. Bei der Verwendung von DLL-Injektion erstellt der Angreifer eine b\u00f6sartige Bibliothek mit demselben Namen und API wie die legitime. Das Programm l\u00e4dt die b\u00f6sartige Bibliothek, die wiederum die legitime l\u00e4dt und bei Bedarf f\u00fcr die Ausf\u00fchrung von Operationen aufruft. Die b\u00f6sartige Bibliothek fungiert dann als Proxy f\u00fcr die gute Bibliothek.<\/p>\n

Ein weiterer Weg, b\u00f6sartigen Code in den Speicher zu bringen, besteht darin, ihn in einen bereits laufenden unsicheren Prozess einzuf\u00fcgen. Prozesse erhalten Eingaben aus verschiedenen Quellen \u2013 sie lesen aus Netzwerken oder Dateien. Normalerweise f\u00fchren sie Pr\u00fcfungen durch, um die Legitimit\u00e4t der Eingaben zu gew\u00e4hrleisten. Aber einige Prozesse sind beim Ausf\u00fchren von Anweisungen nicht ausreichend gesch\u00fctzt. Bei einem solchen Angriff gibt es keine Bibliothek auf der Festplatte oder eine ausf\u00fchrbare Datei mit dem b\u00f6sartigen Code. Alles wird im Speicher zusammen mit dem ausgenutzten Prozess gespeichert.<\/p>\n

Lassen Sie uns nun die Methode zur Aktivierung der Ereignissammlung in Windows und der Regel in InTrust betrachten, die Schutz vor solchen Bedrohungen bietet. Zuerst aktivieren wir sie \u00fcber die InTrust-Verwaltungskonsole.<\/p>\n

\"Wir
\n
\nDie Regel nutzt die M\u00f6glichkeiten zur Prozessverfolgung im Betriebssystem Windows. Leider ist die Aktivierung der Sammlung solcher Ereignisse alles andere als offensichtlich. Es m\u00fcssen drei verschiedene Gruppenrichtlinieneinstellungen ge\u00e4ndert werden:<\/p>\n

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > \u00dcberwachungsrichtlinie > \u00dcberwachung der Prozessverfolgung<\/b><\/p>\n

\"Wir
\n
\nComputerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte \u00dcberwachungsrichtlinieneinstellungen > \u00dcberwachungsrichtlinien > Detaillierte Verfolgung > \u00dcberwachung der Prozess\u00aderstellung<\/b><\/p>\n

\"Wir
\n
\nComputerkonfiguration > Richtlinien > Administrative Vorlagen > System > \u00dcberwachung der Prozesseerstellung > Befehlszeile in Ereignissen zur Prozesseerstellung einbeziehen<\/b><\/p>\n

\"Wir
\n
\nNachdem die Einstellungen aktiviert wurden, erm\u00f6glichen die InTrust-Regeln die Erkennung zuvor unbekannter Bedrohungen, die verd\u00e4chtiges Verhalten zeigen. Zum Beispiel kann man folgenderma\u00dfen identifizieren: wie hier beschrieben<\/a><\/noindex> die Malware Dridex. Durch das HP Bromium-Projekt ist bekannt, wie eine solche Bedrohung funktioniert.<\/p>\n

\"Wir
\n
\nIn seinen Aktionen nutzt Dridex schtasks.exe, um einen geplanten Task zu erstellen. Der Einsatz dieses Kommandozeilen-Tools wird als \u00e4u\u00dferst verd\u00e4chtiges Verhalten angesehen, \u00e4hnlich wie der Start von svchost.exe mit Parametern, die auf Benutzermappen hinweisen, oder mit Parametern, die den Befehlen \u201enet view\u201c oder \u201ewhoami\u201c \u00e4hneln. Hier ist ein Auszug aus dem entsprechenden SIGMA-Regeln<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 von ihnen<\/code><\/pre>\n
\nIn InTrust wird s\u00e4mtliches verd\u00e4chtiges Verhalten in einer Regel zusammengefasst, da die meisten dieser Aktionen nicht spezifisch f\u00fcr eine bestimmte Bedrohung sind, sondern eher im Gesamten verd\u00e4chtig und in 99 % der F\u00e4lle f\u00fcr weniger noble Zwecke genutzt werden. Eine solche Liste von Aktionen umfasst, ist aber nicht beschr\u00e4nkt auf:<\/p>\n