{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Activamos la recopilaci\u00f3n de eventos sobre el inicio de procesos sospechosos en Windows y detectamos amenazas con Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Activamos
\n
\nUno de los tipos de ataques m\u00e1s comunes es el surgimiento de un proceso malicioso en el \u00e1rbol junto a procesos totalmente leg\u00edtimos. Un camino sospechoso hacia el archivo ejecutable puede indicar un problema: a menudo, el malware utiliza carpetas como AppData o Temp, lo cual es poco caracter\u00edstico de programas leg\u00edtimos. Para ser justos, algunas utilidades de actualizaci\u00f3n autom\u00e1tica se ejecutan en AppData, as\u00ed que solo verificar la ubicaci\u00f3n de inicio no es suficiente para afirmar que un programa es malicioso.<\/p>\n

Un factor adicional de legitimidad es la firma criptogr\u00e1fica: muchos programas originales est\u00e1n firmados por el proveedor. Se puede usar la falta de firma como un m\u00e9todo para identificar elementos sospechosos en el inicio autom\u00e1tico. Pero, de nuevo, hay malware que utiliza certificados robados para firmarse a s\u00ed mismo.<\/p>\n

Tambi\u00e9n se puede verificar el valor de los hashes criptogr\u00e1ficos MD5 o SHA256, que pueden corresponder a algunos programas maliciosos previamente detectados. Se puede realizar un an\u00e1lisis est\u00e1tico examinando las firmas en el programa (usando reglas Yara o productos antivirus). Tambi\u00e9n existe el an\u00e1lisis din\u00e1mico (ejecutar el programa en un entorno seguro y monitorear su comportamiento) y la ingenier\u00eda inversa.<\/p>\n

Puede haber muchos signos de un proceso malicioso. En este art\u00edculo, explicaremos c\u00f3mo habilitar la auditor\u00eda de los eventos correspondientes en Windows y examinaremos las se\u00f1ales en las que se basa la regla incorporada InTrust<\/a><\/noindex> para la detecci\u00f3n de procesos sospechosos. InTrust es plataforma CLM<\/a><\/noindex> para la recolecci\u00f3n, an\u00e1lisis y almacenamiento de datos no estructurados, que ya cuenta con cientos de reacciones predefinidas a diferentes tipos de ataques.
\n<\/a><\/noindex>
\nAl ejecutar un programa, se carga en la memoria del ordenador. El archivo ejecutable contiene instrucciones para la computadora y bibliotecas auxiliares (por ejemplo, *.dll). Una vez que el proceso est\u00e1 en marcha, puede crear hilos adicionales. Los hilos permiten que el proceso ejecute diferentes conjuntos de instrucciones al mismo tiempo. Hay muchas maneras en que el c\u00f3digo malicioso puede infiltrarse en la memoria y comenzar a ejecutarse; consideremos algunas de ellas.<\/p>\n

La forma m\u00e1s sencilla de iniciar un proceso malicioso es hacer que el usuario lo ejecute directamente (por ejemplo, desde un archivo adjunto de correo electr\u00f3nico) y luego usar la clave RunOnce para ejecutarlo en cada inicio del ordenador. Esto tambi\u00e9n incluye el malware \"sin archivos\", que almacena scripts de PowerShell en las claves del registro, que se ejecutan en base a un desencadenador. En este caso, el script de PowerShell es el c\u00f3digo malicioso.<\/p>\n

El problema con el lanzamiento expl\u00edcito de software malicioso es que es un enfoque conocido que se detecta f\u00e1cilmente. Algunos programas maliciosos realizan acciones m\u00e1s ingeniosas, por ejemplo, utilizan otro proceso para comenzar a ejecutarse en la memoria. Por lo tanto, el proceso puede crear otro proceso al ejecutar una instrucci\u00f3n inform\u00e1tica espec\u00edfica y se\u00f1alar un archivo ejecutable (.exe) para su lanzamiento.<\/p>\n

Se puede especificar un archivo utilizando la ruta completa (por ejemplo, C:\\Windows\\System32\\cmd.exe) o una ruta incompleta (por ejemplo, cmd.exe). Si el proceso de origen no es seguro, permitir\u00e1 que se ejecuten programas ileg\u00edtimos. Un ataque podr\u00eda ser as\u00ed: el proceso lanza cmd.exe sin especificar la ruta completa, y el atacante coloca su propio cmd.exe en un lugar donde el proceso lo ejecute antes que el leg\u00edtimo. Una vez que el programa malicioso se ejecuta, a su vez, puede lanzar un programa leg\u00edtimo (por ejemplo, C:\\Windows\\System32\\cmd.exe) para que el programa de origen contin\u00fae funcionando correctamente.<\/p>\n

Una variante del ataque anterior es la inyecci\u00f3n de DLL en un proceso leg\u00edtimo. Cuando se inicia un proceso, encuentra y carga bibliotecas que ampl\u00edan sus capacidades. Al usar la inyecci\u00f3n de DLL, el atacante crea una biblioteca maliciosa con el mismo nombre y API que la leg\u00edtima. El programa carga la biblioteca maliciosa y esta, a su vez, carga la leg\u00edtima, y cuando es necesario, para realizar operaciones, la invoca. La biblioteca maliciosa comienza a actuar como proxy para la buena biblioteca.<\/p>\n

Otra forma de inyectar c\u00f3digo malicioso en la memoria es insertarlo en un proceso inseguro que ya est\u00e1 en ejecuci\u00f3n. Los procesos reciben datos de varias fuentes: leen de redes o archivos. Normalmente, realizan verificaciones para asegurar la legitimidad de los datos de entrada. Pero algunos procesos no tienen la debida protecci\u00f3n al ejecutar instrucciones. En este tipo de ataque, no existe ninguna biblioteca en el disco o un archivo ejecutable con c\u00f3digo malicioso. Todo se almacena en la memoria junto con el proceso explotado.<\/p>\n

Ahora analicemos el m\u00e9todo para habilitar la recolecci\u00f3n de tales eventos en Windows y con la regla en InTrust, que implementa protecci\u00f3n contra estas amenazas. Primero, lo activamos a trav\u00e9s de la consola de administraci\u00f3n de InTrust.<\/p>\n

\"Activamos
\n
\nLa regla utiliza las capacidades de seguimiento de procesos del sistema operativo Windows. Desafortunadamente, habilitar la recolecci\u00f3n de tales eventos no es nada obvio. Es necesario modificar 3 configuraciones diferentes de pol\u00edticas de grupo:<\/p>\n

Configuraci\u00f3n del computador > Pol\u00edticas > Configuraci\u00f3n de Windows > Configuraci\u00f3n de seguridad > Pol\u00edticas locales > Pol\u00edtica de auditor\u00eda > Auditor\u00eda del seguimiento de procesos<\/b><\/p>\n

\"Activamos
\n
\nConfiguraci\u00f3n del computador > Pol\u00edticas > Configuraci\u00f3n de Windows > Configuraci\u00f3n de seguridad > Configuraci\u00f3n avanzada de pol\u00edticas de auditor\u00eda > Pol\u00edticas de auditor\u00eda > Seguimiento detallado > Auditor\u00eda de la creaci\u00f3n de procesos<\/b><\/p>\n

\"Activamos
\n
\nConfiguraci\u00f3n del computador > Pol\u00edticas > Plantillas administrativas > Sistema > Auditor\u00eda de la creaci\u00f3n de procesos > Incluir l\u00ednea de comando en los eventos de creaci\u00f3n de procesos<\/b><\/p>\n

\"Activamos
\n
\nDespu\u00e9s de habilitar, las reglas de InTrust permiten detectar amenazas previamente desconocidas que muestran un comportamiento sospechoso. Por ejemplo, se puede identificar lo descrito aqu\u00ed<\/a><\/noindex> el malware Dridex. Gracias al proyecto HP Bromium, se sabe c\u00f3mo est\u00e1 estructurada tal amenaza.<\/p>\n

\"Activamos
\n
\nEn su cadena de acciones, Dridex utiliza schtasks.exe para crear una tarea programada. El uso de esta utilidad desde la l\u00ednea de comandos se considera un comportamiento bastante sospechoso, al igual que ejecutar svchost.exe con par\u00e1metros que indican carpetas de usuario o par\u00e1metros que se asemejan a los comandos \u00abnet view\u00bb o \u00abwhoami\u00bb. Aqu\u00ed hay un fragmento de la correspondiente regla SIGMA<\/a><\/noindex>:<\/p>\n

detecci\u00f3n:\n    selecci\u00f3n1:\n        L\u00edneaDeComando: '*svchost.exe C:Usuarios\\*Escritorio\\*'\n    selecci\u00f3n2:\n        ImagenPadre: '*svchost.exe*'\n        L\u00edneaDeComando:\n            - '*whoami.exe \\\/todos'\n            - '*net.exe ver'\n    condici\u00f3n: 1 de ellos<\/code><\/pre>\n
\nEn InTrust, todo comportamiento sospechoso se agrupa bajo una \u00fanica regla, ya que la mayor\u00eda de estas acciones no son espec\u00edficas para una amenaza concreta, sino que m\u00e1s bien son sospechosas en conjunto y se utilizan en el 99% de los casos para fines poco nobles. Esta lista de acciones incluye, pero no se limita a:<\/p>\n