{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Bekapcsoljuk a gyan\u00fas folyamatok ind\u00edt\u00e1s\u00e1nak esem\u00e9nyeinek gy\u0171jt\u00e9s\u00e9t Windowsban \u00e9s felfedezz\u00fck a fenyeget\u00e9seket a Quest InTrust seg\u00edts\u00e9g\u00e9vel.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Bekapcsoljuk
\n
\nAz egyik gyakran el\u0151fordul\u00f3 t\u00e1mad\u00e1st\u00edpus a rosszindulat\u00fa folyamat l\u00e9trehoz\u00e1sa teljesen \u00e1rtalmatlan folyamatok k\u00f6z\u00f6tt. Gyan\u00fas lehet a v\u00e9grehajt\u00e1si f\u00e1jlhoz vezet\u0151 \u00fat: a rosszindulat\u00fa programok gyakran az AppData vagy a Temp mapp\u00e1kat haszn\u00e1lj\u00e1k, ami nem jellemz\u0151 a legitim programokra. Igazs\u00e1gos megjegyezni, hogy n\u00e9h\u00e1ny automatikus friss\u00edt\u0151 eszk\u00f6z az AppData mapp\u00e1ban fut, \u00edgy a v\u00e9grehajt\u00e1si hely\u00e9nek ellen\u0151rz\u00e9se \u00f6nmag\u00e1ban nem elegend\u0151 a program rosszindulat\u00fas\u00e1g\u00e1nak meg\u00e1llap\u00edt\u00e1s\u00e1hoz.<\/p>\n

A jogosults\u00e1g tov\u00e1bbi t\u00e9nyez\u0151je a kriptogr\u00e1fiai al\u00e1\u00edr\u00e1s: sok eredeti programot a gy\u00e1rt\u00f3 \u00edr al\u00e1. Az al\u00e1\u00edr\u00e1s hi\u00e1ny\u00e1t lehet haszn\u00e1lni gyan\u00fas aut\u00f3ind\u00edt\u00e1si elemek azonos\u00edt\u00e1s\u00e1nak m\u00f3dszerek\u00e9nt. De ism\u00e9t, l\u00e9teznek rosszindulat\u00fa programok, amelyek ellopott tan\u00fas\u00edtv\u00e1nyt haszn\u00e1lnak saj\u00e1t maguk al\u00e1\u00edr\u00e1s\u00e1hoz.<\/p>\n

Ellen\u0151rizni lehet a kriptogr\u00e1fiai MD5 vagy SHA256 hashek \u00e9rt\u00e9k\u00e9t is, amelyek kor\u00e1bban felfedezett rosszindulat\u00fa programokkal is megfelelhetnek. Statisztikai elemz\u00e9st v\u00e9gezhet\u00fcnk a program jeleinek \u00e1ttekint\u00e9s\u00e9vel (Yara szab\u00e1lyok vagy antiv\u00edrus term\u00e9kek haszn\u00e1lat\u00e1val). Van m\u00e9g dinamikai elemz\u00e9s is (a program futtat\u00e1sa biztons\u00e1gos k\u00f6rnyezetben, \u00e9s a tev\u00e9kenys\u00e9g\u00e9nek nyomon k\u00f6vet\u00e9se) \u00e9s visszafejt\u00e9s.<\/p>\n

Sz\u00e1mos jele lehet a rosszindulat\u00fa folyamatnak. Ebben a cikkben elmondjuk, hogyan lehet bekapcsolni a megfelel\u0151 esem\u00e9nyek audit\u00e1l\u00e1s\u00e1t a Windows rendszer\u00e9ben, \u00e9s \u00e1ttekintj\u00fck azokat a jeleket, amelyekre a be\u00e9p\u00edtett szab\u00e1ly t\u00e1maszkodik InTrust<\/a><\/noindex> a gyan\u00fas folyamatok azonos\u00edt\u00e1s\u00e1hoz. Az InTrust egy CLM-platform<\/a><\/noindex> a struktur\u00e1latlan adatok gy\u0171jt\u00e9s\u00e9re, elemz\u00e9s\u00e9re \u00e9s t\u00e1rol\u00e1s\u00e1ra, amely m\u00e1r t\u00f6bb sz\u00e1z el\u0151re be\u00e1ll\u00edtott reakci\u00f3t tartalmaz k\u00fcl\u00f6nb\u00f6z\u0151 t\u00e1mad\u00e1st\u00edpusokra.
\n<\/a><\/noindex>
\nA program ind\u00edt\u00e1sakor bet\u00f6lt\u0151dik a sz\u00e1m\u00edt\u00f3g\u00e9p mem\u00f3ri\u00e1j\u00e1ba. A v\u00e9grehajt\u00e1si f\u00e1jl sz\u00e1m\u00edt\u00f3g\u00e9pes utas\u00edt\u00e1sokat \u00e9s seg\u00e9dbibliot\u00e9k\u00e1kat (p\u00e9ld\u00e1ul *.dll) tartalmaz. Amikor a folyamat m\u00e1r elindult, tov\u00e1bbi sz\u00e1lakat hozhat l\u00e9tre. A sz\u00e1lak lehet\u0151v\u00e9 teszik a folyamat sz\u00e1m\u00e1ra, hogy egyszerre k\u00fcl\u00f6nb\u00f6z\u0151 utas\u00edt\u00e1si halmazokat hajtson v\u00e9gre. Sz\u00e1mos m\u00f3dja van a rosszindulat\u00fa k\u00f3d behatol\u00e1s\u00e1nak a mem\u00f3ri\u00e1ba \u00e9s elind\u00edt\u00e1s\u00e1nak, n\u00e9zz\u00fck meg ezek k\u00f6z\u00fcl n\u00e9h\u00e1nyat.<\/p>\n

A legegyszer\u0171bb m\u00f3dja a k\u00e1rt\u00e9kony folyamat elind\u00edt\u00e1s\u00e1nak, ha a felhaszn\u00e1l\u00f3t arra k\u00e9nyszer\u00edtj\u00fck, hogy k\u00f6zvetlen\u00fcl ind\u00edtsa el (p\u00e9ld\u00e1ul egy e-mail mell\u00e9kletb\u0151l), majd a RunOnce kulcs seg\u00edts\u00e9g\u00e9vel elind\u00edtjuk a sz\u00e1m\u00edt\u00f3g\u00e9p minden egyes ind\u00edt\u00e1sakor. Ide tartozik az \u201ef\u00e1jl n\u00e9lk\u00fcli\u201d rosszindulat\u00fa szoftver is, amely PowerShell szkripteket t\u00e1rol a rendszerle\u00edr\u00f3 adatb\u00e1zis kulcsaiban, amelyek egy trigger alapj\u00e1n v\u00e9grehajt\u00e1sra ker\u00fclnek. Ilyen esetben a PowerShell szkript a k\u00e1rt\u00e9kony k\u00f3dot jelenti.<\/p>\n

A k\u00e1rt\u00e9kony szoftver ny\u00edlt ind\u00edt\u00e1s\u00e1nak probl\u00e9m\u00e1ja az, hogy ez egy ismert m\u00f3dszer, amelyet k\u00f6nny\u0171 \u00e9szlelni. N\u00e9h\u00e1ny k\u00e1rtev\u0151 ravaszabb m\u00f3dszereket alkalmaz, p\u00e9ld\u00e1ul m\u00e1s folyamatot haszn\u00e1l arra, hogy a mem\u00f3ri\u00e1ban v\u00e9grehajthat\u00f3 legyen. Ennek k\u00f6vetkezt\u00e9ben a folyamat l\u00e9trehozhat egy m\u00e1sik folyamatot egy adott sz\u00e1m\u00edt\u00f3g\u00e9pes utas\u00edt\u00e1s v\u00e9grehajt\u00e1s\u00e1val, \u00e9s megadhatja a futtathat\u00f3 f\u00e1jlt (.exe) a v\u00e9grehajt\u00e1sra.<\/p>\n

A f\u00e1jlt meg lehet adni teljes \u00faton (p\u00e9ld\u00e1ul C:Windowssystem32cmd.exe) vagy r\u00f6vid\u00edtett \u00faton (p\u00e9ld\u00e1ul cmd.exe). Ha az eredeti folyamat nem biztons\u00e1gos, lehet\u0151v\u00e9 teszi illegitim programok futtat\u00e1s\u00e1t. A t\u00e1mad\u00e1s \u00edgy n\u00e9zhet ki: a folyamat elind\u00edtja a cmd.exe-t an\u00e9lk\u00fcl, hogy megadn\u00e1 a teljes utat, a t\u00e1mad\u00f3 pedig elhelyezi a saj\u00e1t cmd.exe f\u00e1jlj\u00e1t oly m\u00f3don, hogy a folyamat azt el\u0151sz\u00f6r ind\u00edtsa el a jogszer\u0171 el\u0151tt. Miut\u00e1n a k\u00e1rt\u00e9kony program elindult, az viszont elind\u00edthat egy jogszer\u0171 programot (p\u00e9ld\u00e1ul C:Windowssystem32cmd.exe), hogy az eredeti program megfelel\u0151en m\u0171k\u00f6dhessen.<\/p>\n

A kor\u00e1bbi t\u00e1mad\u00e1s egyik fajt\u00e1ja a DLL-injekt\u00e1l\u00e1s egy jogszer\u0171 folyamatba. Amikor a folyamat elindul, megtal\u00e1lja \u00e9s bet\u00f6lti azokat a k\u00f6nyvt\u00e1rakat, amelyek b\u0151v\u00edtik a funkcionalit\u00e1s\u00e1t. A DLL-injekt\u00e1l\u00e1ssal a t\u00e1mad\u00f3 egy k\u00e1rt\u00e9kony k\u00f6nyvt\u00e1rat hoz l\u00e9tre ugyanazzal a n\u00e9vvel \u00e9s API-val, mint a jogszer\u0171. A program bet\u00f6lti a k\u00e1rt\u00e9kony k\u00f6nyvt\u00e1rat, amely viszont bet\u00f6lti a jogszer\u0171t, \u00e9s sz\u00fcks\u00e9g eset\u00e9n m\u0171veletek v\u00e9grehajt\u00e1s\u00e1ra hivatkozik r\u00e1. A k\u00e1rt\u00e9kony k\u00f6nyvt\u00e1r proxy szerepet kezd bet\u00f6lteni a j\u00f3 k\u00f6nyvt\u00e1r sz\u00e1m\u00e1ra.<\/p>\n

Egy m\u00e1sik m\u00f3dja a rosszindulat\u00fa k\u00f3d mem\u00f3ri\u00e1ba t\u00f6rt\u00e9n\u0151 elhelyez\u00e9s\u00e9nek, hogy beillesztj\u00fck egy m\u00e1r fut\u00f3, nem biztons\u00e1gos folyamatba. A folyamatok k\u00fcl\u00f6nb\u00f6z\u0151 forr\u00e1sokb\u00f3l nyernek adatokat \u2014 olvasnak a h\u00e1l\u00f3zatr\u00f3l vagy f\u00e1jlokb\u00f3l. \u00c1ltal\u00e1ban ellen\u0151rzik, hogy az adatok legitimek-e. De egyes folyamatoknak nem megfelel\u0151 v\u00e9delm\u00fck van az utas\u00edt\u00e1sok v\u00e9grehajt\u00e1sa k\u00f6zben. Ilyen t\u00e1mad\u00e1s eset\u00e9n nincs lemezen k\u00f6nyvt\u00e1r vagy v\u00e9grehajthat\u00f3 f\u00e1jl a rosszindulat\u00fa k\u00f3ddal. Minden mem\u00f3riafagyasztva t\u00e1rol\u00f3dik a kihaszn\u00e1lhat\u00f3 folyamattal egy\u00fctt.<\/p>\n

Most n\u00e9zz\u00fck meg, hogyan lehet aktiv\u00e1lni az ilyen esem\u00e9nyek gy\u0171jt\u00e9s\u00e9t a Windows rendszeren, valamint az InTrust szab\u00e1lyt, amely v\u00e9dekezik az ilyen fenyeget\u00e9sek ellen. El\u0151sz\u00f6r aktiv\u00e1ljuk a InTrust kezel\u0151 konzolon kereszt\u00fcl.<\/p>\n

\"Bekapcsoljuk
\n
\nA szab\u00e1ly az Windows oper\u00e1ci\u00f3s rendszer folyamatainak nyomon k\u00f6vet\u00e9s\u00e9re szolg\u00e1l\u00f3 lehet\u0151s\u00e9geit haszn\u00e1lja. Sajnos ezeknek az esem\u00e9nyeknek a gy\u0171jt\u00e9se nem nyilv\u00e1nval\u00f3. H\u00e1rom k\u00fcl\u00f6nb\u00f6z\u0151 csoporth\u00e1zirend-be\u00e1ll\u00edt\u00e1st kell megv\u00e1ltoztatni:<\/p>\n

Sz\u00e1m\u00edt\u00f3g\u00e9p konfigur\u00e1ci\u00f3 > H\u00e1zirendek > Windows be\u00e1ll\u00edt\u00e1sok > Biztons\u00e1gi be\u00e1ll\u00edt\u00e1sok > Helyi h\u00e1zirendek > Audit politik\u00e1k > Audit folyamat nyomon k\u00f6vet\u00e9s<\/b><\/p>\n

\"Bekapcsoljuk
\n
\nSz\u00e1m\u00edt\u00f3g\u00e9p konfigur\u00e1ci\u00f3 > H\u00e1zirendek > Windows be\u00e1ll\u00edt\u00e1sok > Biztons\u00e1gi be\u00e1ll\u00edt\u00e1sok > Halad\u00f3 audit politikai konfigur\u00e1ci\u00f3 > Audit politik\u00e1k > R\u00e9szletes nyomon k\u00f6vet\u00e9s > Audit folyamat l\u00e9trehoz\u00e1s<\/b><\/p>\n

\"Bekapcsoljuk
\n
\nSz\u00e1m\u00edt\u00f3g\u00e9p konfigur\u00e1ci\u00f3 > H\u00e1zirendek > Adminisztrat\u00edv sablonok > Rendszer > Audit folyamat l\u00e9trehoz\u00e1s > Parancssor hozz\u00e1ad\u00e1sa a folyamat l\u00e9trehoz\u00e1si esem\u00e9nyekhez<\/b><\/p>\n

\"Bekapcsoljuk
\n
\nAktiv\u00e1l\u00e1s ut\u00e1n az InTrust szab\u00e1lyai lehet\u0151v\u00e9 teszik olyan kor\u00e1bban ismeretlen fenyeget\u00e9sek azonos\u00edt\u00e1s\u00e1t, amelyek gyan\u00fas viselked\u00e9st mutatnak. P\u00e9ld\u00e1ul ki lehet emelni itt le\u00edrt<\/a><\/noindex> Dridex rosszindulat\u00fa programot. Az HP Bromium projektnek k\u00f6sz\u00f6nhet\u0151en tudjuk, hogyan m\u0171k\u00f6dik ez a fenyeget\u00e9s.<\/p>\n

\"Bekapcsoljuk
\n
\nA Dridex m\u0171veleteinek l\u00e1nc\u00e1ban a schtasks.exe-t haszn\u00e1lja \u00fctemezett feladat l\u00e9trehoz\u00e1s\u00e1ra. \u00c9ppen ennek a parancssori seg\u00e9dprogramnak a haszn\u00e1lata meglehet\u0151sen gyan\u00fas viselked\u00e9snek sz\u00e1m\u00edt, hasonl\u00f3an ahhoz, amikor a svchost.exe-t olyan param\u00e9terekkel ind\u00edtj\u00e1k, amelyek felhaszn\u00e1l\u00f3i mapp\u00e1kra mutatnak, vagy olyan parancsokkal, mint a \u00abnet view\u00bb vagy a \u00abwhoami\u00bb. \u00cdme egy a megfelel\u0151 SIGMA szab\u00e1ly<\/a><\/noindex>:<\/p>\n

detect:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nAz InTrust eset\u00e9ben minden gyan\u00fas viselked\u00e9s egyetlen szab\u00e1lyba van foglalva, mert ezek a cselekedetek nem specifikusak egy adott fenyeget\u00e9sre, hanem ink\u00e1bb \u00f6sszess\u00e9g\u00e9ben gyan\u00fasak, \u00e9s 99%-ban nem t\u00fal tiszteletteljes c\u00e9lokra haszn\u00e1lj\u00e1k \u0151ket. Az ilyen t\u00edpus\u00fa cselekedetek list\u00e1ja a k\u00f6vetkez\u0151ket tartalmazza, de nem korl\u00e1toz\u00f3dik ezekre:<\/p>\n