{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"K\u00e4ivitame kahtlaste protsesside k\u00e4ivitamise s\u00fcndmuste kogumise Windowsis ja tuvastame ohud Quest InTrusti abil","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"K\u00e4ivitame
\n
\n\u00dcks levinumaid r\u00fcnnaku t\u00fc\u00fcpe on pahatahtliku protsessi loomine t\u00e4iesti tavap\u00e4rastest protsessidest. Kahtlus v\u00f5ib tekkida t\u00e4itmisfaili teest: pahavarad kasutavad sageli AppData v\u00f5i Temp kaustu, mis ei ole iseloomulik legaalsetele programmidele. Aususe nimel tuleb \u00f6elda, et m\u00f5ned automaatsete uuenduste t\u00f6\u00f6riistad k\u00e4ivitatakse AppData's, seega on ainus k\u00e4ivitamise koha kontrollimine ebapiisav, et v\u00e4ita, et programm on pahatahtlik.<\/p>\n

T\u00e4iendav legealsusfaktor on kr\u00fcptograafiline allkiri: paljud originaalprogrammid on allkirjastatud tootja poolt. Allkirja puudumise fakti saab kasutada kahtlaste autoloading elementide tuvastamisena. Kuid on ka pahavara, mis kasutab varastatud sertifikaati enda allkirjastamiseks.<\/p>\n

Samuti saab kontrollida MD5 v\u00f5i SHA256 kr\u00fcptograafiliste ridade v\u00e4\u00e4rtusi, mis v\u00f5ivad vastata m\u00f5nele varasemalt avastatud pahavarale. V\u00f5ib teostada staatilist anal\u00fc\u00fcsi, vaadates programmi signatuure (kasutades Yara reegleid v\u00f5i viiruset\u00f5rjetooted). Lisaks on olemas d\u00fcnaamiline anal\u00fc\u00fcs (programmi k\u00e4itamine mingis turvalises keskkonnas ja selle tegevuse j\u00e4lgimine) ja tagasip\u00f6\u00f6rdumine.<\/p>\n

Pahatahtlikku protsessi v\u00f5ib palju m\u00e4rke. Selles artiklis r\u00e4\u00e4kime, kuidas Windowsis vastavaid s\u00fcndmusi auditeerida, ja vaatame m\u00e4rke, millele toetub sisseehitatud reegel InTrust<\/a><\/noindex> kahtlaste protsesside tuvastamiseks. InTrust on CLM-platvorm<\/a><\/noindex> Strukturiseerimata andmete kogumiseks, anal\u00fc\u00fcsimiseks ja s\u00e4ilitamiseks, kus on juba sadu eelnevalt seadistatud reaktsioone erinevat t\u00fc\u00fcpi r\u00fcnnakutele.
\n<\/a><\/noindex>
\nKui programm k\u00e4ivitatakse, laaditakse see arvuti m\u00e4llu. T\u00e4itmisfail sisaldab arvutijuhiseid ja abiteeke (n\u00e4iteks *.dll). Kui protsess on juba k\u00e4ivitatud, saab see luua lisak\u00e4ike. K\u00e4igud v\u00f5imaldavad protsessil samaaegselt t\u00e4ita erinevaid k\u00e4skude kogumeid. Pahavarade koodi m\u00e4llu sisenemise ja k\u00e4ivitamise viise on palju, vaatame m\u00f5nda neist.<\/p>\n

Lihtsaim viis kahjuliku protsessi k\u00e4ivitamiseks on sundida kasutajat seda otse k\u00e4ivitatama (n\u00e4iteks e-kirja manuse kaudu) ja seej\u00e4rel kasutada RunOnce v\u00f5tit, et k\u00e4ivitada see iga kord, kui arvuti on sisse l\u00fclitatud. Siia alla kuulub ka \"failivaba\" kahjulik tarkvara, mis salvestab PowerShelli skripte registri v\u00f5tmetesse, mis k\u00e4ivitatakse kutse alusel. Sellisel juhul on PowerShelli skript kahjulik kood.<\/p>\n

Kahjuliku tarkvara selge k\u00e4ivitamise probleem on see, et see on tuntud l\u00e4henemine, mida on lihtne tuvastada. M\u00f5ned kahjulikud programmide aitavad paremaid meetodeid, n\u00e4iteks kasutavad nad teist protsessi, et hakata m\u00e4lu k\u00e4ivitama. Seet\u00f5ttu v\u00f5ib protsess luua teise protsessi, k\u00e4ivitades m\u00e4\u00e4ratud arvutijuhise ja osutades k\u00e4ivitamise faili (.exe) jaoks.<\/p>\n

Faili saab n\u00e4idata, kasutades t\u00e4ielikku teed (nt C:Windowssystem32cmd.exe) v\u00f5i osalist (nt cmd.exe). Kui algne protsess on ebausaldusv\u00e4\u00e4rne, v\u00f5imaldab see ebaseaduslikke programme k\u00e4ivitada. R\u00fcnnak v\u00f5ib v\u00e4lja n\u00e4ha nii: protsess k\u00e4ivitab cmd.exe ilma t\u00e4ieliku teeta, kurjategija paigutab oma cmd.exe nii, et protsess k\u00e4ivitab selle enne seaduslikku. P\u00e4rast kahjuliku programmi k\u00e4ivitamist v\u00f5ib see omakorda k\u00e4ivitada seadusliku programmi (nt C:Windowssystem32cmd.exe), et algne programm t\u00f6\u00f6tab \u00f5igesti.<\/p>\n

Eelmise r\u00fcnnaku variant on DLL-injektsioon seaduslikus protsessis. Kui protsess k\u00e4ivitatakse, leiab ta ja laadib raamatukogud, mis laiendavad tema funktsionaalsust. Kasutades DLL-injektsiooni, loob kurjategija kahjuliku raamatukogu, mille nimi ja API on samad kui seaduslikul. Programm laadib kahjuliku raamatukogu, mille j\u00e4rele see laadib seadusliku, ja vajadusel k\u00f5iki tehingute teostamiseks kutsub selle.<\/p>\n

Teine viis pahatahtliku koodi m\u00e4lu paigutamiseks on selle sisestamine juba k\u00e4ivitatud ebaturvalisse protsessi. Protsessid saavad sisendit erinevatest allikatest - loevad v\u00f5rgust v\u00f5i failidest. Tavalistes olukordades kontrollitakse, et sisend oleks legitiimne. Kuid m\u00f5ned protsessid ei oma piisavat kaitset k\u00e4skude t\u00e4itmisel. Sellise r\u00fcnnaku korral ei eksisteeri kettal raamatkogu ega t\u00e4idetavat faili pahatahtliku koodiga. K\u00f5ik on salvestatud m\u00e4lu koos ekspluateeritava protsessiga.<\/p>\n

N\u00fc\u00fcd vaatame, kuidas seadistada selliste s\u00fcndmuste kogumist Windowsis ja reeglit InTrustis, mis rakendab kaitset selliste ohtude vastu. Esmalt aktiveerime selle InTrusti juhtpaneeli kaudu.<\/p>\n

\"K\u00e4ivitame
\n
\nReegel kasutab Windowsi operatsioonis\u00fcsteemi protsesside j\u00e4lgimise v\u00f5imalusi. Kahjuks ei ole nende s\u00fcndmuste kogumise aktiveerimine kaugeltki ilmselge. Tuleb muuta kolme erinevat r\u00fchmapoliitika seadistust:<\/p>\n

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy > Audit process tracking<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nComputer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies > Detailed Tracking > Audit process creation<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nComputer Configuration > Policies > Administrative Templates > System > Audit Process Creation > Include command line in process creation events<\/b><\/p>\n

\"K\u00e4ivitame
\n
\nP\u00e4rast aktiveerimist v\u00f5imaldavad InTrusti reeglid tuvastada varem teadmata ohte, mis n\u00e4itavad kahtlast k\u00e4itumist. N\u00e4iteks saab tuvastada siin kirjeldatud<\/a><\/noindex> kahjulikku tarkvara Dridex. T\u00e4nu HP Bromiumi projektile on teada, kuidas see oht on korraldatud.<\/p>\n

\"K\u00e4ivitame
\n
\nOma tegevuste ahelas kasutab Dridex schtasks.exe, et luua ajastatud \u00fclesanne. Selle utiliidi kasutamine k\u00e4surealt peetakse kahtlaseks k\u00e4itumiseks, samuti n\u00e4eb kahtlane v\u00e4lja svchost.exe k\u00e4ivitamine parameetritega, mis viitavad kasutajate kaustadele v\u00f5i parameetritega, mis sarnanevad k\u00e4skudega 'net view' v\u00f5i 'whoami'. Siin on vastava SIGMA reegli<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nInTrustis k\u00f5ik kahtlane k\u00e4itumine koondatud \u00fchte reeglisse, kuna enamik neist tegevustest ei ole spetsiifilised konkreetsele ohule, vaid pigem kahtlased tervikuna ja 99% juhtudest kasutatakse neid mitte p\u00e4ris kellade eesm\u00e4rkidel. Selline tegevuste loetelu h\u00f5lmab, kuid ei piirdu:<\/p>\n