Il rilascio della versione 12 di Sysmon è stato annunciato il 17 settembre su . In realtà, lo stesso giorno sono uscite anche nuove versioni di Process Monitor e ProcDump. In questo articolo parlerò di una novità chiave e ambigua della versione 12 di Sysmon: il tipo di eventi con Event ID 24, in cui viene registrato l'uso degli appunti.
Le informazioni di questo tipo di eventi aprono nuove possibilità di controllo sull'attività sospetta (e nuove vulnerabilità). In questo modo, potrai comprendere chi, da dove e cosa stava cercando di copiare. Di seguito, una descrizione di alcuni campi del nuovo evento e un paio di casi d'uso.
Il nuovo evento contiene i seguenti campi:
Immagine: il processo da cui sono stati estratti i dati negli appunti.
Sessione: la sessione in cui è avvenuta la registrazione negli appunti. Questo può essere system(0)
durante il funzionamento in modalità interattiva o remota, ecc.
ClientInfo: contiene il nome utente della sessione e, nel caso di una sessione remota, il nome host originale e l'indirizzo IP, se questi dati sono disponibili.
Hash: determina il nome del file in cui è stato salvato il testo copiato (analogamente al funzionamento con eventi del tipo FileDelete).
Archiviato: stato che indica se il testo degli appunti è stato salvato nella directory di archivio di Sysmon.
Gli ultimi due campi suscitano preoccupazioni. Infatti, dalla versione 11 Sysmon può (con le configurazioni appropriate) salvare diversi dati nella propria directory di archivio. Ad esempio, l'Event ID 23 registra eventi di eliminazione dei file e può salvarli tutti nella stessa directory di archivio. Ai nomi dei file creati in seguito all'uso degli appunti viene aggiunto il tag CLIP. Questi file contengono dati esatti che sono stati copiati negli appunti.
Ecco com'è un file salvato
Il salvataggio su file è abilitato durante l'installazione. È possibile impostare whitelist di processi per cui il testo non verrà salvato.
Ecco come appare l'installazione di Sysmon con la configurazione della directory di archivio appropriata:
Qui, penso che valga la pena menzionare i gestori di password, che utilizzano anche gli appunti. La presenza di Sysmon nel sistema con un gestore di password ti permetterà (o a un attaccante) di catturare queste password. Se ipotizziamo che tu sappia quale processo sta allocando il testo copiato (ed esso non corrisponde sempre al processo del gestore di password, ma può essere un qualche svchost), questa eccezione può essere aggiunta alla whitelist e non salvata.
Potresti non saperlo, ma il testo negli appunti viene catturato da un server remoto quando si passa a esso in modalità sessione RDP. Se hai qualcosa negli appunti e ti sposti tra le sessioni RDP, queste informazioni viaggeranno con te.
Riassumiamo le capacità di Sysmon nella gestione degli appunti.
Registrati:
- Copia testuale del testo incollato tramite RDP e localmente;
- Cattura dei dati dagli appunti tramite varie utility/processi;
- Copia/incolla di testo con/dalla macchina virtuale locale, anche se questo testo non è stato ancora incollato.
Non registrati:
- Copia/incolla di file con/dalla macchina virtuale locale;
- Copia/incolla di file tramite RDP
- Malware che cattura i tuoi appunti scrive solo negli stessi appunti.
Nonostante tutta la sua ambiguità, questo tipo di eventi consentirà di ricostruire l'algoritmo di azione dell'attaccante e aiuterà a scoprire dati precedentemente inaccessibili per la formazione di post mortem dopo gli attacchi. Se la registrazione del contenuto negli appunti è comunque abilitata, è importante registrare ogni accesso alla directory archiviata e identificare potenziali minacce (iniziata da non sysmon.exe).
Per la registrazione, l'analisi e la risposta agli eventi sopra menzionati, è possibile utilizzare lo strumento , che combina tutti e tre gli approcci e, inoltre, rappresenta un efficiente archivio centralizzato per tutti i dati grezzi raccolti. Possiamo configurarne l'integrazione con sistemi SIEM popolari per ridurre i costi delle relative licenze trasferendo l'elaborazione e la memorizzazione dei dati grezzi in InTrust.
Per saperne di più su InTrust, leggi i nostri articoli precedenti o .
(articolo popolare)
Fonte: habr.com
