{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Erfassung von Ereignissen \u00fcber den Start verd\u00e4chtiger Prozesse in Windows und Erkennung von Bedrohungen mit Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Erfassung
\n
\nEine der h\u00e4ufigsten Arten von Angriffen ist die Erzeugung eines sch\u00e4dlichen Prozesses im Baum unter scheinbar harmlosen Prozessen. Verdacht kann der Pfad zur ausf\u00fchrbaren Datei erregen: Oft nutzt Malware die Ordner AppData oder Temp, was f\u00fcr legitime Programme untypisch ist. Der Fairness halber sollte erw\u00e4hnt werden, dass einige automatisierte Aktualisierungsprogramme im AppData-Ordner ausgef\u00fchrt werden. Daher reicht eine \u00dcberpr\u00fcfung des Ausf\u00fchrungsortes allein nicht aus, um zu behaupten, dass ein Programm sch\u00e4dlich ist.<\/p>\n

Ein weiterer Faktor f\u00fcr die Legitimit\u00e4t ist die digitale Signatur: Viele originale Programme sind vom Anbieter signiert. Das Fehlen einer Signatur kann als Methode zur Identifizierung verd\u00e4chtiger Autostart-Elemente verwendet werden. Aber auch hier gibt es Malware, die ein gestohlenes Zertifikat verwendet, um sich selbst zu signieren.<\/p>\n

Man kann auch die Werte der kryptographischen Hashes MD5 oder SHA256 \u00fcberpr\u00fcfen, die mit zuvor entdeckten Malware-Programmen \u00fcbereinstimmen k\u00f6nnen. Statische Analysen k\u00f6nnen durchgef\u00fchrt werden, indem die Signaturen im Programm (mithilfe von Yara-Regeln oder Antivirenprodukten) betrachtet werden. Dar\u00fcber hinaus gibt es auch dynamische Analysen (Ausf\u00fchren des Programms in einer sicheren Umgebung und Verfolgen seines Verhaltens) und Reverse Engineering.<\/p>\n

Es kann viele Anzeichen f\u00fcr einen sch\u00e4dlichen Prozess geben. In diesem Artikel erkl\u00e4ren wir, wie Sie die Auditing entsprechender Ereignisse in Windows aktivieren, und analysieren die Anzeichen, auf die sich die integrierte Regel st\u00fctzt, InTrust<\/a><\/noindex> zur Identifizierung verd\u00e4chtiger Prozesse. InTrust ist eine CLM-Plattform<\/a><\/noindex> zum Sammeln, Analysieren und Speichern unstrukturierter Daten, die bereits Hunderte vordefinierte Reaktionen auf verschiedene Angriffstypen enth\u00e4lt.
\n<\/a><\/noindex>
\nWenn ein Programm gestartet wird, wird es in den Arbeitsspeicher des Computers geladen. Die ausf\u00fchrbare Datei enth\u00e4lt Computeranweisungen und unterst\u00fctzende Bibliotheken (z. B. *.dll). Wenn der Prozess einmal gestartet ist, kann er zus\u00e4tzliche Threads erstellen. Threads erm\u00f6glichen es dem Prozess, verschiedene Anweisungsset gleichzeitig auszuf\u00fchren. Es gibt viele M\u00f6glichkeiten, wie sch\u00e4dlicher Code in den Speicher eindringen und ausgef\u00fchrt werden kann. Lassen Sie uns einige dieser Methoden betrachten.<\/p>\n

Der einfachste Weg, einen sch\u00e4dlichen Prozess zu starten, besteht darin, den Benutzer dazu zu bringen, ihn direkt auszuf\u00fchren (z. B. aus einem E-Mail-Anhang). Anschlie\u00dfend kann er mit dem Schl\u00fcssel RunOnce bei jedem Systemstart ausgef\u00fchrt werden. Dazu geh\u00f6rt auch Malware, die \u201efileless\u201c ist und PowerShell-Skripte in den Registrierungsschl\u00fcsseln speichert, die auf Grundlage eines Triggers ausgef\u00fchrt werden. In diesem Fall ist das PowerShell-Skript der sch\u00e4dliche Code.<\/p>\n

Das Problem mit dem direkten Start von schadhafter Software ist, dass es ein bekannter Ansatz ist, der leicht erkannt werden kann. Einige Malware-Programme verwenden raffiniertere Techniken, indem sie einen anderen Prozess nutzen, um im Speicher zu starten. Folglich kann der Prozess einen anderen Prozess erzeugen, indem er eine bestimmte Computeranweisung ausf\u00fchrt und eine ausf\u00fchrbare Datei (.exe) angibt.<\/p>\n

Eine Datei kann entweder durch einen vollst\u00e4ndigen Pfad (z. B. C:Windowssystem32cmd.exe) oder durch einen unvollst\u00e4ndigen Pfad (z. B. cmd.exe) angegeben werden. Wenn der Ausgangsprozess unsicher ist, kann er illegitime Programme ausf\u00fchren. Ein Angriff k\u00f6nnte so aussehen: Der Prozess startet cmd.exe, ohne den vollst\u00e4ndigen Pfad anzugeben, und der Angreifer platziert seine eigene cmd.exe an einem Ort, sodass der Prozess ihn vor der legitimen Version ausf\u00fchrt. Nach dem Start der sch\u00e4dlichen Software kann diese wiederum eine legitime Anwendung (z. B. C:Windowssystem32cmd.exe) starten, um sicherzustellen, dass das urspr\u00fcngliche Programm weiterhin ordnungsgem\u00e4\u00df funktioniert.<\/p>\n

Eine Variante des vorherigen Angriffs ist die DLL-Injektion in einen legitimen Prozess. Wenn ein Prozess gestartet wird, sucht er nach Bibliotheken, die seine Funktionalit\u00e4t erweitern. Bei der DLL-Injektion erstellt der Angreifer eine schadhafte Bibliothek mit demselben Namen und API wie die legitime. Das Programm l\u00e4dt die schadhafte Bibliothek, die wiederum die legitime l\u00e4dt und, wenn n\u00f6tig, diese zur Durchf\u00fchrung von Operationen aufruft. Die schadhafte Bibliothek fungiert als Proxy f\u00fcr die gute Bibliothek.<\/p>\n

Eine weitere M\u00f6glichkeit, sch\u00e4dlichen Code in den Speicher einzuf\u00fcgen, besteht darin, ihn in einen bereits gestarteten, unsicheren Prozess einzuf\u00fcgen. Prozesse erhalten Eingabedaten aus verschiedenen Quellen \u2013 sie lesen aus dem Netzwerk oder von Dateien. Normalerweise f\u00fchren sie eine \u00dcberpr\u00fcfung durch, um die Legitimit\u00e4t der Eingabedaten sicherzustellen. Aber einige Prozesse haben nicht den n\u00f6tigen Schutz beim Ausf\u00fchren von Anweisungen. Bei einem solchen Angriff gibt es keine Bibliothek auf der Festplatte oder eine ausf\u00fchrbare Datei mit sch\u00e4dlichem Code. Alles wird im Speicher zusammen mit dem exploitierten Prozess gespeichert.<\/p>\n

Jetzt schauen wir uns die Methode an, um das Sammeln solcher Ereignisse in Windows zu aktivieren und die Regel in InTrust, die einen Schutz vor solchen Bedrohungen implementiert. Zun\u00e4chst aktivieren wir es \u00fcber die InTrust-Verwaltungskonsole.<\/p>\n

\"Erfassung
\n
\nDie Regel nutzt die Funktionen zur Verfolgung von Prozessen im Windows-Betriebssystem. Leider ist die Aktivierung des Sammelns solcher Ereignisse alles andere als offensichtlich. Es m\u00fcssen 3 verschiedene Gruppenrichtlinieneinstellungen ge\u00e4ndert werden:<\/p>\n

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy > Audit process tracking<\/b><\/p>\n

\"Erfassung
\n
\nComputer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies > Detailed Tracking > Audit process creation<\/b><\/p>\n

\"Erfassung
\n
\nComputer Configuration > Policies > Administrative Templates > System > Audit Process Creation > Include command line in process creation events<\/b><\/p>\n

\"Erfassung
\n
\nNach der Aktivierung erm\u00f6glichen die InTrust-Regeln die Erkennung zuvor unbekannter Bedrohungen, die verd\u00e4chtiges Verhalten zeigen. Zum Beispiel kann man erkennen was hier beschrieben ist<\/a><\/noindex> die Malware Dridex. Dank des HP Bromium-Projekts wei\u00df man, wie eine solche Bedrohung aussieht.<\/p>\n

\"Erfassung
\n
\nIn seiner Handlungssequenz verwendet Dridex schtasks.exe, um einen geplanten Task zu erstellen. Die Verwendung genau dieses Dienstprogramms \u00fcber die Eingabeaufforderung gilt als \u00e4u\u00dferst verd\u00e4chtiges Verhalten, \u00e4hnlich sieht die Ausf\u00fchrung von svchost.exe mit Parametern aus, die auf Benutzerordner hinweisen, oder mit Parametern, die wie die Befehle \u201enet view\u201c oder \u201ewhoami\u201c aussehen. Hier ist ein Ausschnitt der entsprechenden SIGMA-Regel<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nIn InTrust ist jegliches verd\u00e4chtige Verhalten in einer Regel zusammengefasst, da die meisten dieser Aktionen nicht spezifisch f\u00fcr eine bestimmte Bedrohung sind, sondern eher im Gesamtzusammenhang verd\u00e4chtig erscheinen und in 99 % der F\u00e4lle f\u00fcr nicht ganz edle Zwecke verwendet werden. Eine solche Liste von Aktionen umfasst, ist aber nicht beschr\u00e4nkt auf:<\/p>\n