{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Nous activons la collecte d'\u00e9v\u00e9nements concernant le lancement de processus suspects dans Windows et identifions les menaces \u00e0 l'aide de Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Nous
\n
\nL'un des types d'attaques les plus courants consiste \u00e0 g\u00e9n\u00e9rer un processus malveillant dans l'arbre de processus apparemment l\u00e9gitimes. Un chemin d'acc\u00e8s suspect vers le fichier ex\u00e9cutable peut alerter : des logiciels malveillants utilisent souvent les dossiers AppData ou Temp, ce qui n'est pas typique pour les programmes l\u00e9gitimes. \u00c0 titre d'\u00e9quit\u00e9, il convient de mentionner que certaines utilitaires de mise \u00e0 jour automatique s'ex\u00e9cutent dans AppData, donc une simple v\u00e9rification du lieu de lancement n'est pas suffisante pour affirmer qu'un programme est malveillant.<\/p>\n

Un autre facteur de l\u00e9gitimit\u00e9 est la signature cryptographique : de nombreux programmes originaux sont sign\u00e9s par le fournisseur. L'absence de signature peut \u00eatre utilis\u00e9e pour identifier des \u00e9l\u00e9ments suspects dans le d\u00e9marrage automatique. Mais encore une fois, il existe des logiciels malveillants qui utilisent un certificat vol\u00e9 pour se signer eux-m\u00eames.<\/p>\n

On peut \u00e9galement v\u00e9rifier la valeur des hachages cryptographiques MD5 ou SHA256, qui peuvent correspondre \u00e0 des programmes malveillants pr\u00e9c\u00e9demment d\u00e9couverts. Une analyse statique peut \u00eatre effectu\u00e9e en examinant les signatures dans le programme (via des r\u00e8gles Yara ou des produits antivirus). Il existe \u00e9galement une analyse dynamique (ex\u00e9cuter le programme dans un environnement s\u00fbr et suivre son comportement) et l'ing\u00e9nierie inverse.<\/p>\n

Il peut y avoir de nombreux signes d'un processus malveillant. Dans cet article, nous expliquerons comment activer l'audit des \u00e9v\u00e9nements correspondants dans Windows, et examinerons les signes sur lesquels repose la r\u00e8gle int\u00e9gr\u00e9e InTrust<\/a><\/noindex> pour identifier un processus suspect. InTrust est plateforme CLM<\/a><\/noindex> pour la collecte, l'analyse et le stockage de donn\u00e9es non structur\u00e9es, qui dispose d\u00e9j\u00e0 de centaines de r\u00e9actions pr\u00e9d\u00e9finies pour divers types d'attaques.
\n<\/a><\/noindex>
\nLorsqu'un programme est lanc\u00e9, il est charg\u00e9 en m\u00e9moire de l'ordinateur. Le fichier ex\u00e9cutable contient des instructions informatiques et des biblioth\u00e8ques auxiliaires (par exemple, *.dll). Une fois le processus lanc\u00e9, il peut cr\u00e9er des flux suppl\u00e9mentaires. Les flux permettent au processus d'ex\u00e9cuter diff\u00e9rents ensembles d'instructions simultan\u00e9ment. Il existe de nombreuses fa\u00e7ons pour un code malveillant de p\u00e9n\u00e9trer en m\u00e9moire et de s'ex\u00e9cuter, examinons certaines d'entre elles.<\/p>\n

La mani\u00e8re la plus simple de lancer un processus malveillant est de convaincre l'utilisateur de l'ex\u00e9cuter directement (par exemple, \u00e0 partir d'une pi\u00e8ce jointe d'e-mail), puis d'utiliser la cl\u00e9 RunOnce pour l'ex\u00e9cuter \u00e0 chaque d\u00e9marrage de l'ordinateur. Cela inclut \u00e9galement les logiciels malveillants \u00ab sans fichier \u00bb qui stockent des scripts PowerShell dans des cl\u00e9s de registre, qui sont ex\u00e9cut\u00e9s sur la base d'un d\u00e9clencheur. Dans ce cas, le script PowerShell constitue le code malveillant.<\/p>\n

Le probl\u00e8me avec l'ex\u00e9cution explicite de logiciels malveillants est qu'il s'agit d'une m\u00e9thode connue, facilement d\u00e9tectable. Certains logiciels malveillants adoptent des approches plus subtiles, par exemple, en utilisant un autre processus pour commencer \u00e0 s'ex\u00e9cuter en m\u00e9moire. Par cons\u00e9quent, le processus peut cr\u00e9er un autre processus en ex\u00e9cutant une instruction informatique sp\u00e9cifique et en sp\u00e9cifiant le fichier ex\u00e9cutable (.exe) \u00e0 lancer.<\/p>\n

Le fichier peut \u00eatre sp\u00e9cifi\u00e9 en utilisant le chemin complet (par exemple, C:Windowssystem32cmd.exe) ou incomplet (par exemple, cmd.exe). Si le processus source n'est pas s\u00fbr, il permettra d'ex\u00e9cuter des programmes non l\u00e9gitimes. Une attaque peut se d\u00e9rouler ainsi : le processus lance cmd.exe sans indiquer le chemin complet, l'attaquant place son cmd.exe \u00e0 un endroit tel que le processus le lance avant le fichier l\u00e9gitime. Apr\u00e8s le lancement du logiciel malveillant, il peut, \u00e0 son tour, lancer un programme l\u00e9gitime (par exemple, C:Windowssystem32cmd.exe) pour que le programme source continue de fonctionner correctement.<\/p>\n

Une variante de l'attaque pr\u00e9c\u00e9dente est l'injection de DLL dans un processus l\u00e9gitime. Lorsque le processus d\u00e9marre, il trouve et charge des biblioth\u00e8ques qui \u00e9tendent ses fonctionnalit\u00e9s. En utilisant l'injection de DLL, l'attaquant cr\u00e9e une biblioth\u00e8que malveillante avec le m\u00eame nom et API que celle l\u00e9gitime. Le programme charge la biblioth\u00e8que malveillante, qui \u00e0 son tour charge la l\u00e9gitime et, au besoin, pour effectuer des op\u00e9rations, l'appelle. La biblioth\u00e8que malveillante commence \u00e0 agir comme un interm\u00e9diaire pour la bonne biblioth\u00e8que.<\/p>\n

Une autre fa\u00e7on d'injecter du code malveillant en m\u00e9moire consiste \u00e0 l'ins\u00e9rer dans un processus non s\u00e9curis\u00e9 d\u00e9j\u00e0 en cours d'ex\u00e9cution. Les processus obtiennent des donn\u00e9es d'entr\u00e9es provenant de diverses sources \u2014 en lisant sur le r\u00e9seau ou dans des fichiers. En g\u00e9n\u00e9ral, ils effectuent une v\u00e9rification pour s'assurer de la l\u00e9gitimit\u00e9 des donn\u00e9es d'entr\u00e9e. Mais certains processus n'ont pas de protection ad\u00e9quate lors de l'ex\u00e9cution des instructions. Dans ce type d'attaque, il n'existe pas de biblioth\u00e8que sur le disque ou de fichier ex\u00e9cutable contenant du code malveillant. Tout est stock\u00e9 en m\u00e9moire avec le processus exploit\u00e9.<\/p>\n

Voyons maintenant la m\u00e9thode pour activer la collecte de tels \u00e9v\u00e9nements dans Windows et la r\u00e8gle dans InTrust, qui met en \u0153uvre une protection contre de telles menaces. Pour commencer, activons-la via la console de gestion InTrust.<\/p>\n

\"Nous
\n
\nLa r\u00e8gle utilise les capacit\u00e9s de suivi des processus du syst\u00e8me d'exploitation Windows. Malheureusement, activer la collecte de tels \u00e9v\u00e9nements n'est pas \u00e9vident. Il faut modifier 3 param\u00e8tres diff\u00e9rents de la strat\u00e9gie de groupe :<\/p>\n

Configuration de l'ordinateur > Strat\u00e9gies > Param\u00e8tres Windows > Param\u00e8tres de s\u00e9curit\u00e9 > Strat\u00e9gies locales > Politique d'audit > Auditer le suivi des processus<\/b><\/p>\n

\"Nous
\n
\nConfiguration de l'ordinateur > Strat\u00e9gies > Param\u00e8tres Windows > Param\u00e8tres de s\u00e9curit\u00e9 > Configuration avanc\u00e9e de la strat\u00e9gie d'audit > Politiques d'audit > Suivi d\u00e9taill\u00e9 > Auditer la cr\u00e9ation de processus<\/b><\/p>\n

\"Nous
\n
\nConfiguration de l'ordinateur > Strat\u00e9gies > Mod\u00e8les administratifs > Syst\u00e8me > Cr\u00e9ation de processus d'audit > Inclure la ligne de commande dans les \u00e9v\u00e9nements de cr\u00e9ation de processus<\/b><\/p>\n

\"Nous
\n
\nUne fois activ\u00e9es, les r\u00e8gles InTrust permettent de d\u00e9tecter des menaces pr\u00e9c\u00e9demment inconnues qui d\u00e9montrent un comportement suspect. Par exemple, on peut identifier ce qui est d\u00e9crit ici<\/a><\/noindex> le malware Dridex. Gr\u00e2ce au projet HP Bromium, nous savons comment fonctionne cette menace.<\/p>\n

\"Nous
\n
\nDans sa cha\u00eene d'actions, Dridex utilise schtasks.exe pour cr\u00e9er une t\u00e2che planifi\u00e9e. L'utilisation de cet utilitaire \u00e0 partir de la ligne de commande est consid\u00e9r\u00e9e comme un comportement tr\u00e8s suspect, tout comme le lancement de svchost.exe avec des param\u00e8tres indiquant des dossiers utilisateur ou des options ressemblant \u00e0 des commandes \u00ab net view \u00bb ou \u00ab whoami \u00bb. Voici un extrait de la r\u00e8gle correspondante r\u00e8gle SIGMA<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nDans InTrust, tout comportement suspect est int\u00e9gr\u00e9 dans une seule r\u00e8gle, car la plupart de ces actions ne sont pas sp\u00e9cifiques \u00e0 une menace particuli\u00e8re, mais sont plut\u00f4t suspectes dans leur ensemble et utilis\u00e9es dans 99 % des cas \u00e0 des fins peu nobles. Cette liste d'actions inclut, sans s'y limiter :<\/p>\n