પ્રીફેચ ફાઇલોનો ઉપયોગ કરીને હુમલો કરવાની તકનીકો અને યુક્તિઓ માટે શિકાર

ટ્રેસ ફાઇલો, અથવા પ્રીફેચ ફાઇલો, XP થી Windows માં આસપાસ છે. ત્યારથી, તેઓએ ડિજિટલ ફોરેન્સિક્સ અને કોમ્પ્યુટર ઘટના પ્રતિભાવ નિષ્ણાતોને માલવેર સહિતના સોફ્ટવેરના નિશાન શોધવામાં મદદ કરી છે. કોમ્પ્યુટર ફોરેન્સિક્સ ગ્રુપ-આઈબીના અગ્રણી નિષ્ણાત ઓલેગ સ્કુલકિન પ્રીફેચ ફાઇલોનો ઉપયોગ કરીને તમે શું શોધી શકો છો અને તે કેવી રીતે કરવું તે તમને જણાવે છે.

પ્રીફેચ ફાઇલો ડિરેક્ટરીમાં સંગ્રહિત થાય છે %સિસ્ટમરૂટ%પ્રીફેચ અને પ્રોગ્રામ લોન્ચ કરવાની પ્રક્રિયાને ઝડપી બનાવવા માટે સેવા આપે છે. જો આપણે આમાંની કોઈપણ ફાઈલોને જોઈએ, તો આપણે જોઈશું કે તેના નામમાં બે ભાગો છે: એક્ઝિક્યુટેબલ ફાઈલનું નામ અને તેના પાથમાંથી આઠ-અક્ષરનું ચેકસમ.

પ્રીફેચ ફાઇલોમાં ફોરેન્સિક દૃષ્ટિકોણથી ઘણી ઉપયોગી માહિતી શામેલ છે: એક્ઝિક્યુટેબલ ફાઇલનું નામ, તે કેટલી વખત એક્ઝિક્યુટ કરવામાં આવી હતી, ફાઇલો અને ડિરેક્ટરીઓની સૂચિ કે જેની સાથે એક્ઝિક્યુટેબલ ફાઇલ ઇન્ટરેક્ટ કરે છે, અને, અલબત્ત, ટાઇમસ્ટેમ્પ્સ. સામાન્ય રીતે, ફોરેન્સિક વૈજ્ઞાનિકો પ્રોગ્રામને પ્રથમ લોંચ કરવામાં આવ્યો હતો તે તારીખ નક્કી કરવા માટે ચોક્કસ પ્રીફેચ ફાઇલની બનાવટ તારીખનો ઉપયોગ કરે છે. વધુમાં, આ ફાઇલો તેના છેલ્લા લોન્ચની તારીખ અને આવૃત્તિ 26 (Windows 8.1) થી શરૂ કરીને - સૌથી તાજેતરના સાત રનના ટાઇમસ્ટેમ્પને સંગ્રહિત કરે છે.

ચાલો પ્રીફેચ ફાઇલોમાંથી એક લઈએ, એરિક ઝિમરમેનની PECmd નો ઉપયોગ કરીને તેમાંથી ડેટા કાઢીએ અને તેના દરેક ભાગને જોઈએ. દર્શાવવા માટે, હું ફાઇલમાંથી ડેટા કાઢીશ CCEANER64.EXE-DE05DBE1.pf.

તો ચાલો ઉપરથી શરૂઆત કરીએ. અલબત્ત, અમારી પાસે ફાઇલ બનાવટ, ફેરફાર અને એક્સેસ ટાઇમસ્ટેમ્પ છે:

તેઓ એક્ઝેક્યુટેબલ ફાઇલના નામ, તેના પાથના ચેકસમ, એક્ઝિક્યુટેબલ ફાઇલનું કદ અને પ્રીફેચ ફાઇલના સંસ્કરણ દ્વારા અનુસરવામાં આવે છે:

અમે વિન્ડોઝ 10 સાથે કામ કરી રહ્યા હોવાથી, આગળ આપણે શરૂઆતની સંખ્યા, છેલ્લી શરૂઆતની તારીખ અને સમય અને અગાઉની લોન્ચ તારીખો દર્શાવતા સાત વધુ ટાઈમસ્ટેમ્પ જોશું:

આ તેના સીરીયલ નંબર અને બનાવટની તારીખ સહિત વોલ્યુમ વિશેની માહિતી દ્વારા અનુસરવામાં આવે છે:

છેલ્લું પરંતુ ઓછામાં ઓછું નથી તે ડિરેક્ટરીઓ અને ફાઇલોની સૂચિ છે જેની સાથે એક્ઝિક્યુટેબલે ક્રિયાપ્રતિક્રિયા કરી હતી:

તેથી, ડિરેક્ટરીઓ અને ફાઇલો કે જેની સાથે એક્ઝેક્યુટેબલે ક્રિયાપ્રતિક્રિયા કરી છે તે બરાબર છે જેના પર હું આજે ધ્યાન કેન્દ્રિત કરવા માંગુ છું. તે આ ડેટા છે જે ડિજિટલ ફોરેન્સિક્સ, કોમ્પ્યુટર ઘટના પ્રતિસાદ અથવા સક્રિય ધમકીના શિકારના નિષ્ણાતોને ફક્ત ચોક્કસ ફાઇલના અમલની હકીકત જ નહીં, પણ કેટલાક કિસ્સાઓમાં, હુમલાખોરોની ચોક્કસ યુક્તિઓ અને તકનીકોનું પુનર્ગઠન કરવાની મંજૂરી આપે છે. આજે, હુમલાખોરો ઘણી વાર ડેટાને કાયમી ધોરણે કાઢી નાખવા માટે સાધનોનો ઉપયોગ કરે છે, ઉદાહરણ તરીકે, SDelete, તેથી ચોક્કસ યુક્તિઓ અને તકનીકોના ઉપયોગના ઓછામાં ઓછા નિશાનોને પુનઃસ્થાપિત કરવાની ક્ષમતા કોઈપણ આધુનિક ડિફેન્ડર માટે જરૂરી છે - કમ્પ્યુટર ફોરેન્સિક્સ નિષ્ણાત, ઘટના પ્રતિભાવ નિષ્ણાત, થ્રેટહન્ટર. નિષ્ણાત.

ચાલો પ્રારંભિક ઍક્સેસ યુક્તિ (TA0001) અને સૌથી લોકપ્રિય તકનીક, સ્પિયરફિશિંગ એટેચમેન્ટ (T1193) થી શરૂઆત કરીએ. કેટલાક સાયબર ક્રિમિનલ જૂથો તેમની રોકાણની પસંદગીમાં તદ્દન સર્જનાત્મક હોય છે. ઉદાહરણ તરીકે, સાયલન્સ જૂથે આ માટે CHM (Microsoft Compiled HTML હેલ્પ) ફોર્મેટમાં ફાઇલોનો ઉપયોગ કર્યો હતો. આમ, અમારી પાસે બીજી તકનીક છે - સંકલિત HTML ફાઇલ (T1223). નો ઉપયોગ કરીને આવી ફાઇલો લોન્ચ કરવામાં આવે છે hh.exe, તેથી, જો આપણે તેની પ્રીફેચ ફાઇલમાંથી ડેટા કાઢીએ, તો અમે શોધીશું કે પીડિત દ્વારા કઈ ફાઇલ ખોલવામાં આવી હતી:

ચાલો વાસ્તવિક કેસોના ઉદાહરણો સાથે કામ કરવાનું ચાલુ રાખીએ અને આગામી એક્ઝેક્યુશન યુક્તિ (TA0002) અને CSMTP ટેકનિક (T1191) પર આગળ વધીએ. માઇક્રોસોફ્ટ કનેક્શન મેનેજર પ્રોફાઇલ ઇન્સ્ટોલર (CMSTP.exe) નો ઉપયોગ હુમલાખોરો દ્વારા દૂષિત સ્ક્રિપ્ટ ચલાવવા માટે કરી શકાય છે. એક સારું ઉદાહરણ કોબાલ્ટ જૂથ છે. જો આપણે પ્રીફેચ ફાઇલમાંથી ડેટા કાઢીએ cmstp.exe, પછી આપણે ફરીથી શોધી શકીએ છીએ કે બરાબર શું લોન્ચ કરવામાં આવ્યું હતું:

બીજી લોકપ્રિય તકનીક છે રેગ્સવીઆર32 (ટી1117). Regsvr32.exe હુમલાખોરો દ્વારા ઘણીવાર લોન્ચ કરવા માટે પણ ઉપયોગમાં લેવાય છે. અહીં કોબાલ્ટ જૂથનું બીજું ઉદાહરણ છે: જો આપણે પ્રીફેચ ફાઇલમાંથી ડેટા કાઢીએ regsvr32.exe, પછી ફરીથી આપણે જોઈશું કે શું લોન્ચ કરવામાં આવ્યું હતું:

આગળની યુક્તિઓ પર્સિસ્ટન્સ (TA0003) અને પ્રિવિલેજ એસ્કેલેશન (TA0004) છે, જેમાં એક ટેકનિક તરીકે એપ્લિકેશન શિમિંગ (T1138) છે. આ તકનીકનો ઉપયોગ Carbanak/FIN7 દ્વારા સિસ્ટમને એન્કર કરવા માટે કરવામાં આવ્યો હતો. સામાન્ય રીતે પ્રોગ્રામ સુસંગતતા ડેટાબેસેસ (.sdb) સાથે કામ કરવા માટે વપરાય છે sdbinst.exe. તેથી, આ એક્ઝિક્યુટેબલની પ્રીફેચ ફાઇલ આવા ડેટાબેસેસના નામ અને તેમના સ્થાનો શોધવામાં અમને મદદ કરી શકે છે:

જેમ તમે ચિત્રમાં જોઈ શકો છો, અમારી પાસે ફક્ત ઇન્સ્ટોલેશન માટે ઉપયોગમાં લેવાતી ફાઇલનું નામ નથી, પણ ઇન્સ્ટોલ કરેલા ડેટાબેઝનું નામ પણ છે.

ચાલો નેટવર્ક પ્રચાર (TA0008), PsExec, વહીવટી શેર્સ (T1077) નો ઉપયોગ કરીને સૌથી સામાન્ય ઉદાહરણોમાંના એક પર એક નજર કરીએ. PSEXECSVC નામની સેવા (અલબત્ત, જો હુમલાખોરો પેરામીટરનો ઉપયોગ કરે તો અન્ય કોઈપણ નામનો ઉપયોગ કરી શકાય છે -r) લક્ષ્ય સિસ્ટમ પર બનાવવામાં આવશે, તેથી, જો આપણે પ્રીફેચ ફાઇલમાંથી ડેટા કાઢીએ, તો આપણે જોઈશું કે શું લોન્ચ થયું હતું:

હું સંભવતઃ જ્યાંથી મેં શરૂ કર્યું ત્યાંથી સમાપ્ત થઈશ - ફાઇલોને કાઢી નાખવું (T1107). મેં પહેલેથી જ નોંધ્યું છે તેમ, ઘણા હુમલાખોરો હુમલાના જીવનચક્રના વિવિધ તબક્કામાં ફાઇલોને કાયમી ધોરણે કાઢી નાખવા માટે SDelete નો ઉપયોગ કરે છે. જો આપણે પ્રીફેચ ફાઇલમાંથી ડેટા જોઈએ sdelete.exe, પછી આપણે જોઈશું કે બરાબર શું કાઢી નાખવામાં આવ્યું હતું:

અલબત્ત, આ પ્રીફેચ ફાઇલોના વિશ્લેષણ દરમિયાન શોધી શકાય તેવી તકનીકોની સંપૂર્ણ સૂચિ નથી, પરંતુ આ સમજવા માટે પૂરતું હોવું જોઈએ કે આવી ફાઇલો માત્ર લોન્ચના નિશાનો શોધવામાં જ નહીં, પરંતુ ચોક્કસ હુમલાખોર યુક્તિઓ અને તકનીકોને ફરીથી ગોઠવવામાં પણ મદદ કરી શકે છે. .

સોર્સ: www.habr.com