{"id":41614,"date":"2020-02-13T20:48:26","date_gmt":"2020-02-13T17:48:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov"},"modified":"2020-02-13T20:48:26","modified_gmt":"2020-02-13T17:48:26","slug":"ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","title":{"rendered":"Cazamos t\u00e9cnicas y t\u00e1cticas de ataque utilizando archivos Prefetch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Cazamos
\n
\nLos archivos de trazado, o archivos Prefetch, existen en Windows desde la \u00e9poca de XP. Desde entonces, han ayudado a los especialistas en criminolog\u00eda digital y respuesta a incidentes inform\u00e1ticos a encontrar rastros del inicio de programas, incluidos los maliciosos. El especialista l\u00edder en criminolog\u00eda digital de Group-IB, Oleg Skulkin<\/b> , explica lo que se puede encontrar a trav\u00e9s de los archivos Prefetch y c\u00f3mo hacerlo.<\/a><\/noindex><\/p>\n

Los archivos Prefetch se almacenan en el directorio %SystemRoot%Prefetch<\/b> y sirven para acelerar el proceso de inicio de programas. Si miramos cualquiera de estos archivos, veremos que su nombre consta de dos partes: el nombre del archivo ejecutable y un hash del camino a \u00e9l, que consiste en ocho caracteres.<\/p>\n

Los archivos Prefetch contienen una gran cantidad de informaci\u00f3n \u00fatil desde el punto de vista forense: el nombre del archivo ejecutable, el n\u00famero de inicios, listas de archivos y directorios con los que ha interactuado el archivo ejecutable y, por supuesto, las marcas de tiempo. Por lo general, los forenses utilizan la fecha de creaci\u00f3n de un archivo Prefetch espec\u00edfico para determinar la fecha del primer inicio del programa. Adem\u00e1s, estos archivos almacenan la fecha de su \u00faltimo inicio y, a partir de la versi\u00f3n 26 (Windows 8.1), las marcas de tiempo de los siete \u00faltimos inicios.<\/p>\n

Tomemos uno de los archivos Prefetch, extraigamos los datos utilizando PECmd de Eric Zimmerman y observemos cada parte. Para la demostraci\u00f3n, extraer\u00e9 los datos del archivo CCLEANER64.EXE-DE05DBE1.pf<\/b>.<\/p>\n

As\u00ed que, comencemos desde arriba. Por supuesto, tenemos las marcas de tiempo de creaci\u00f3n, modificaci\u00f3n y acceso al archivo:<\/p>\n

\"Cazamos
\nSeguidas del nombre del archivo ejecutable, el hash de su ruta, el tama\u00f1o del archivo ejecutable y la versi\u00f3n del archivo Prefetch:<\/p>\n

\"Cazamos
\nDado que estamos tratando con Windows 10, a continuaci\u00f3n veremos el n\u00famero de inicios, la fecha y hora del \u00faltimo inicio y otras siete marcas de tiempo que indican fechas de inicios anteriores:<\/p>\n

\"Cazamos
\nSeguido de informaci\u00f3n sobre la unidad, incluyendo su n\u00famero de serie y la fecha de creaci\u00f3n:<\/p>\n

\"Cazamos
\nY por \u00faltimo, pero no menos importante, la lista de directorios y archivos con los que ha interactuado el archivo ejecutable: <\/p>\n

\"Cazamos
\nAs\u00ed que los directorios y archivos con los que interactu\u00f3 el archivo ejecutable son precisamente en lo que quiero centrarme hoy. Estos datos permiten a los especialistas en criminal\u00edstica digital, respuesta a incidentes inform\u00e1ticos o b\u00fasqueda proactiva de amenazas establecer no solo la ejecuci\u00f3n de un determinado archivo, sino tambi\u00e9n, en algunos casos, reconstruir t\u00e1cticas y t\u00e9cnicas espec\u00edficas de los atacantes. Hoy en d\u00eda, los cibercriminales utilizan con bastante frecuencia herramientas para la eliminaci\u00f3n irreversible de datos, como SDelete, por lo que la capacidad de recuperar al menos rastros del uso de ciertas t\u00e1cticas y t\u00e9cnicas es absolutamente necesaria para cualquier defensor moderno: un criminalista inform\u00e1tico, un especialista en respuesta a incidentes o un experto en ThreatHunter.<\/p>\n

Comencemos con la t\u00e1ctica de Acceso Inicial (TA0001) y la t\u00e9cnica m\u00e1s popular: Spearphishing Attachment (T1193). Algunos grupos de ciberdelincuentes abordan la selecci\u00f3n de estos archivos adjuntos de manera bastante creativa. Por ejemplo, el grupo Silence utiliz\u00f3 archivos en formato CHM (Microsoft Compiled HTML Help) para esto. As\u00ed que aqu\u00ed tenemos otra t\u00e9cnica: Compiled HTML File (T1223). Estos archivos se inician con hh.exe<\/b>, por lo que si extraemos datos de su archivo Prefetch, sabremos qu\u00e9 archivo abri\u00f3 la v\u00edctima:<\/p>\n

\"Cazamos
\nSigamos trabajando con ejemplos de casos reales y pasemos a la siguiente t\u00e1ctica de Ejecuci\u00f3n (TA0002) y a la t\u00e9cnica CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) puede ser utilizado por los atacantes para ejecutar scripts maliciosos. Un buen ejemplo es el grupo Cobalt. Si extraemos datos del archivo Prefetch cmstp.exe<\/b>, nuevamente podremos saber qu\u00e9 se ejecut\u00f3:<\/p>\n

\"Cazamos
\nOtra t\u00e9cnica popular es Regsvr32 (T1117). Regsvr32.exe<\/b> tambi\u00e9n es utilizado frecuentemente por los atacantes para ejecutar. Aqu\u00ed hay otro ejemplo del grupo Cobalt: si extraemos datos del archivo Prefetch regsvr32.exe<\/b>, de nuevo veremos qu\u00e9 se ejecut\u00f3:<\/p>\n

\"Cazamos
\nLas siguientes t\u00e1cticas son Persistencia (TA0003) y Escalamiento de Privilegios (TA0004), as\u00ed como Application Shimming (T1138) como t\u00e9cnica. Esta t\u00e9cnica fue utilizada por Carbanak\/FIN7 para consolidarse en el sistema. Normalmente, se utiliza sdbinst.exe<\/b>para trabajar con bases de datos que contienen informaci\u00f3n sobre la compatibilidad de programas (.sdb), por lo que el archivo Prefetch de este ejecutable puede ayudarnos a conocer los nombres de estas bases de datos y su ubicaci\u00f3n:<\/p>\n

\"Cazamos
\nComo se muestra en la ilustraci\u00f3n, no solo tenemos el nombre del archivo utilizado para la instalaci\u00f3n, sino tambi\u00e9n el nombre de la base de datos instalada.<\/p>\n

Veamos uno de los ejemplos m\u00e1s t\u00edpicos de promoci\u00f3n en la red (TA0008) \u2014 PsExec, que utiliza recursos compartidos administrativos (T1077). Un servicio llamado PSEXECSVC (por supuesto, se puede utilizar cualquier otro nombre si los atacantes usan el par\u00e1metro -r<\/b>) se crear\u00e1 en el sistema objetivo, por lo tanto, si extraemos datos del archivo Prefetch, veremos que se ejecut\u00f3:<\/p>\n

\"Cazamos
\nTerminar\u00e9, probablemente, con lo que comenc\u00e9 \u2014 la eliminaci\u00f3n de archivos (T1107). Como ya he mencionado, muchos atacantes utilizan SDelete para eliminar archivos de forma irreversible en diferentes etapas del ciclo de vida del ataque. Si examinamos los datos del archivo Prefetch sdelete.exe<\/b>, veremos exactamente lo que se elimin\u00f3:<\/p>\n

\"Cazamos<\/p>\n

Por supuesto, esta no es una lista exhaustiva de t\u00e9cnicas que se pueden detectar al analizar archivos Prefetch, pero deber\u00eda ser suficiente para entender que tales archivos pueden ayudar no solo a encontrar rastros de ejecuci\u00f3n, sino tambi\u00e9n a reconstruir t\u00e1cticas y t\u00e9cnicas espec\u00edficas de los atacantes.
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0424\u0430\u0439\u043b\u044b \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438, \u0438\u043b\u0438 Prefetch-\u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Windows \u0435\u0449\u0435 \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d XP. \u0421 \u0442\u0435\u0445 \u043f\u043e\u0440 \u043e\u043d\u0438 \u043f\u043e\u043c\u043e\u0433\u0430\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c \u043f\u043e \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445. \u0412\u0435\u0434\u0443\u0449\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 Group-IB \u041e\u043b\u0435\u0433 \u0421\u043a\u0443\u043b\u043a\u0438\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. Prefetch-\u0444\u0430\u0439\u043b\u044b \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":41615,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41614","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cazando t\u00e9cnicas y t\u00e1cticas de los atacantes utilizando archivos Prefetch | ProHoster","description":"Archivos.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0445\u043e\u0442\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 | ProHoster","og:description":"\u0424\u0430\u0439\u043b\u044b.","og:url":"https:\/\/prohoster.info\/es\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-13T17:48:26+00:00","article:modified_time":"2020-02-13T17:48:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41614","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:13:40","updated":"2022-09-28 14:43:35","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/41614","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=41614"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/41614\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/41615"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=41614"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=41614"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=41614"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}