प्रीफ़ेच फ़ाइलों का उपयोग करके हमला करने की तकनीक और रणनीति की तलाश

ट्रेस फ़ाइलें, या प्रीफ़ेच फ़ाइलें, XP के बाद से विंडोज़ में मौजूद हैं। तब से, उन्होंने डिजिटल फोरेंसिक और कंप्यूटर घटना प्रतिक्रिया विशेषज्ञों को मैलवेयर सहित सॉफ़्टवेयर के निशान खोजने में मदद की है। कंप्यूटर फोरेंसिक ग्रुप-आईबी में अग्रणी विशेषज्ञ ओलेग स्कुलकिन आपको बताता है कि आप प्रीफ़ेच फ़ाइलों का उपयोग करके क्या पा सकते हैं और इसे कैसे करें।

प्रीफ़ेच फ़ाइलें निर्देशिका में संग्रहीत की जाती हैं %SystemRoot%Prefetch और प्रोग्राम लॉन्च करने की प्रक्रिया को तेज़ करने का काम करते हैं। यदि हम इनमें से किसी भी फ़ाइल को देखें, तो हम देखेंगे कि उसके नाम में दो भाग होते हैं: निष्पादन योग्य फ़ाइल का नाम और उसके पथ से आठ-अक्षर का चेकसम।

प्रीफ़ेच फ़ाइलों में फोरेंसिक दृष्टिकोण से उपयोगी बहुत सारी जानकारी होती है: निष्पादन योग्य फ़ाइल का नाम, इसे निष्पादित करने की संख्या, फ़ाइलों और निर्देशिकाओं की सूची जिनके साथ निष्पादन योग्य फ़ाइल ने इंटरैक्ट किया, और, निश्चित रूप से, टाइमस्टैम्प। आमतौर पर, फोरेंसिक वैज्ञानिक प्रोग्राम के पहली बार लॉन्च होने की तारीख निर्धारित करने के लिए एक विशेष प्रीफ़ेच फ़ाइल की निर्माण तिथि का उपयोग करते हैं। इसके अलावा, ये फ़ाइलें इसके अंतिम लॉन्च की तारीख को संग्रहीत करती हैं, और संस्करण 26 (विंडोज 8.1) से शुरू होती हैं - सात सबसे हालिया रन के टाइमस्टैम्प।

आइए प्रीफ़ेच फ़ाइलों में से एक लें, एरिक ज़िम्मरमैन के PECmd का उपयोग करके उसमें से डेटा निकालें और उसके प्रत्येक भाग को देखें। प्रदर्शित करने के लिए, मैं एक फ़ाइल से डेटा निकालूंगा CCLEANER64.EXE-DE05DBE1.pf.

तो चलिए ऊपर से शुरू करते हैं। बेशक, हमारे पास फ़ाइल निर्माण, संशोधन और एक्सेस टाइमस्टैम्प हैं:

उनके बाद निष्पादन योग्य फ़ाइल का नाम, उसके पथ का चेकसम, निष्पादन योग्य फ़ाइल का आकार और प्रीफ़ेच फ़ाइल का संस्करण होता है:

चूँकि हम विंडोज़ 10 के साथ काम कर रहे हैं, आगे हम प्रारंभ की संख्या, अंतिम प्रारंभ की तिथि और समय और पिछली लॉन्च तिथियों को दर्शाने वाले सात और टाइमस्टैम्प देखेंगे:

इसके बाद वॉल्यूम के बारे में जानकारी दी गई है, जिसमें इसकी क्रमांक संख्या और निर्माण तिथि भी शामिल है:

अंतिम लेकिन महत्वपूर्ण बात उन निर्देशिकाओं और फ़ाइलों की एक सूची है जिनके साथ निष्पादन योग्य ने इंटरैक्ट किया है:

इसलिए, जिन निर्देशिकाओं और फ़ाइलों के साथ निष्पादन योग्य ने इंटरैक्ट किया, वे बिल्कुल वही हैं जिन पर मैं आज ध्यान केंद्रित करना चाहता हूं। यह वह डेटा है जो डिजिटल फोरेंसिक, कंप्यूटर घटना प्रतिक्रिया, या सक्रिय खतरे के शिकार के विशेषज्ञों को न केवल किसी विशेष फ़ाइल के निष्पादन के तथ्य को स्थापित करने की अनुमति देता है, बल्कि कुछ मामलों में, हमलावरों की विशिष्ट रणनीति और तकनीकों का पुनर्निर्माण भी करता है। आज, हमलावर अक्सर डेटा को स्थायी रूप से हटाने के लिए टूल का उपयोग करते हैं, उदाहरण के लिए, SDelete, इसलिए कुछ रणनीति और तकनीकों के उपयोग के कम से कम निशान को पुनर्स्थापित करने की क्षमता किसी भी आधुनिक रक्षक के लिए आवश्यक है - कंप्यूटर फोरेंसिक विशेषज्ञ, घटना प्रतिक्रिया विशेषज्ञ, थ्रेटहंटर विशेषज्ञ।

आइए आरंभिक एक्सेस रणनीति (TA0001) और सबसे लोकप्रिय तकनीक, स्पीयरफ़िशिंग अटैचमेंट (T1193) से शुरुआत करें। कुछ साइबर अपराधी समूह अपने निवेश के चुनाव में काफी रचनात्मक हैं। उदाहरण के लिए, साइलेंस समूह ने इसके लिए CHM (Microsoft संकलित HTML सहायता) प्रारूप में फ़ाइलों का उपयोग किया। इस प्रकार, हमारे सामने एक और तकनीक है - संकलित HTML फ़ाइल (T1223)। ऐसी फ़ाइलें का उपयोग करके लॉन्च की जाती हैं hh.exe, इसलिए, यदि हम इसकी प्रीफ़ेच फ़ाइल से डेटा निकालते हैं, तो हमें पता चलेगा कि पीड़ित द्वारा कौन सी फ़ाइल खोली गई थी:

आइए वास्तविक मामलों के उदाहरणों के साथ काम करना जारी रखें और अगली निष्पादन रणनीति (TA0002) और CSMTP तकनीक (T1191) पर आगे बढ़ें। Microsoft कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर (CMSTP.exe) का उपयोग हमलावरों द्वारा दुर्भावनापूर्ण स्क्रिप्ट चलाने के लिए किया जा सकता है। इसका एक अच्छा उदाहरण कोबाल्ट समूह है। यदि हम Prefetch फ़ाइल से डेटा निकालते हैं cmstp.exe, तो हम फिर से पता लगा सकते हैं कि वास्तव में क्या लॉन्च किया गया था:

एक अन्य लोकप्रिय तकनीक Regsvr32 (T1117) है। regsvr32.exe इसका उपयोग अक्सर हमलावरों द्वारा लॉन्च करने के लिए भी किया जाता है। यहां कोबाल्ट समूह से एक और उदाहरण दिया गया है: यदि हम प्रीफ़ेच फ़ाइल से डेटा निकालते हैं regsvr32.exe, फिर हम देखेंगे कि क्या लॉन्च किया गया था:

अगली रणनीति पर्सिस्टेंस (TA0003) और प्रिविलेज एस्केलेशन (TA0004) हैं, जिसमें एक तकनीक के रूप में एप्लीकेशन शिमिंग (T1138) है। इस तकनीक का उपयोग सिस्टम को एंकर करने के लिए कारबानक/FIN7 द्वारा किया गया था। आमतौर पर प्रोग्राम संगतता डेटाबेस (.sdb) के साथ काम करने के लिए उपयोग किया जाता है sdbinst.exe. इसलिए, इस निष्पादन योग्य की प्रीफ़ेच फ़ाइल हमें ऐसे डेटाबेस के नाम और उनके स्थान का पता लगाने में मदद कर सकती है:

जैसा कि आप चित्रण में देख सकते हैं, हमारे पास न केवल इंस्टॉलेशन के लिए उपयोग की गई फ़ाइल का नाम है, बल्कि इंस्टॉल किए गए डेटाबेस का नाम भी है।

आइए प्रशासनिक शेयरों (T0008) का उपयोग करके नेटवर्क प्रसार (TA1077), PsExec के सबसे सामान्य उदाहरणों में से एक पर एक नज़र डालें। सेवा का नाम PSEXECSVC है (बेशक, यदि हमलावरों ने पैरामीटर का उपयोग किया है तो किसी अन्य नाम का उपयोग किया जा सकता है -r) लक्ष्य सिस्टम पर बनाया जाएगा, इसलिए, यदि हम प्रीफ़ेच फ़ाइल से डेटा निकालते हैं, तो हम देखेंगे कि क्या लॉन्च किया गया था:

मैं संभवतः वहीं समाप्त करूंगा जहां से मैंने शुरू किया था - फ़ाइलें हटाना (T1107)। जैसा कि मैंने पहले ही नोट किया है, कई हमलावर हमले के जीवनचक्र के विभिन्न चरणों में फ़ाइलों को स्थायी रूप से हटाने के लिए SDelete का उपयोग करते हैं। यदि हम प्रीफ़ेच फ़ाइल के डेटा को देखें sdelete.exe, तो हम देखेंगे कि वास्तव में क्या हटाया गया था:

बेशक, यह उन तकनीकों की एक विस्तृत सूची नहीं है जिन्हें प्रीफ़ेच फ़ाइलों के विश्लेषण के दौरान खोजा जा सकता है, लेकिन यह समझने के लिए पर्याप्त होना चाहिए कि ऐसी फ़ाइलें न केवल लॉन्च के निशान ढूंढने में मदद कर सकती हैं, बल्कि विशिष्ट हमलावर रणनीति और तकनीकों का पुनर्निर्माण भी कर सकती हैं। .

स्रोत: www.habr.com