Uno dei tipi di attacco più comuni è la generazione di un processo malevolo all'interno di un albero di processi apparentemente legittimi. Un'indicazione sospetta può essere il percorso del file eseguibile: spesso il malware utilizza le cartelle AppData o Temp, cosa che non è tipica dei programmi legittimi. Tuttavia, va detto che alcune utility di aggiornamento automatico vengono eseguite in AppData, quindi controllare solo il luogo di avvio non è sufficiente per affermare che un programma sia malevolo.
Un ulteriore fattore di legittimità è la firma crittografica: molti programmi originali sono firmati dal venditore. Si può utilizzare l'assenza di una firma come metodo per identificare elementi sospetti nell'avvio automatico. Ma ci sono anche malware che utilizzano certificati rubati per firmarsi.
Si possono anche controllare i valori degli hash crittografici MD5 o SHA256, che possono corrispondere a malware precedentemente scoperti. È possibile eseguire un'analisi statica esaminando le firme nel programma (utilizzando regole Yara o prodotti antivirus). Inoltre, esiste un'analisi dinamica (eseguendo il programma in un ambiente sicuro e monitorando il suo comportamento) e il reverse engineering.
Ci sono molti segni di un processo malevolo. In questo articolo spiegheremo come attivare l'audit degli eventi pertinenti in Windows, analizzeremo i segnali su cui si basa la regola integrata per identificare processi sospetti. InTrust è per la raccolta, l'analisi e la conservazione di dati non strutturati, con già centinaia di reazioni preimpostate a vari tipi di attacchi.
Quando un programma viene avviato, viene caricato nella memoria del computer. Il file eseguibile contiene istruzioni informatiche e librerie ausiliarie (ad esempio, *.dll). Quando il processo è già in esecuzione, può creare flussi aggiuntivi. I flussi consentono al processo di eseguire diversi set di istruzioni simultaneamente. Ci sono molti modi in cui il codice malevolo può infiltrarsi nella memoria e avviarsi, vediamo alcuni di essi.
Il modo più semplice per avviare un processo malevolo è costringere l'utente a eseguirlo direttamente (ad esempio, da un allegato e-mail), quindi utilizzare una chiave RunOnce per avviarlo ad ogni accensione del computer. A questo si aggiunge il malware "fileless", che memorizza script di PowerShell nelle chiavi di registro, che vengono eseguiti in base a un trigger. In questo caso, lo script di PowerShell è il codice malevolo.
Il problema con l'esecuzione esplicita del software malevolo è che questo è un approccio noto, facilmente rilevabile. Alcuni malware adottano misure più astute, ad esempio, utilizzando un altro processo per avviarsi nella memoria. Di conseguenza, il processo può creare un altro processo eseguendo un'istruzione informatica specifica e specificando un file eseguibile (.exe) da avviare.
Il file può essere specificato utilizzando il percorso completo (ad esempio, C:\Windows\system32\cmd.exe) o un percorso abbreviato (ad esempio, cmd.exe). Se il processo sorgente non è sicuro, consentirà l'avvio di programmi non legittimi. L'attacco può apparire in questo modo: il processo avvia cmd.exe senza specificare il percorso completo, il malintenzionato colloca il proprio cmd.exe in un luogo in modo che il processo lo avvii prima del legittimo. Dopo l'avvio del programma malevolo, esso può avviare a sua volta un programma legittimo (ad esempio, C:\Windows\system32\cmd.exe), in modo che il programma sorgente continui a funzionare correttamente.
Una variante del precedente attacco è l'iniezione di DLL in un processo legittimo. Quando il processo viene avviato, trova e carica le librerie che ne estendono le funzionalità. Utilizzando l'iniezione di DLL, il malintenzionato crea una libreria malevola con lo stesso nome e API di quella legittima. Il programma carica la libreria malevola, la quale, a sua volta, carica quella legittima e chiama quest'ultima per eseguire operazioni necessarie. La libreria malevola inizia a fungere da proxy per la buona libreria.
Un altro modo per inserire codice malevolo nella memoria è immetterlo in un processo non sicuro già in esecuzione. I processi ricevono input da varie fonti: leggono dalla rete o dai file. Di solito eseguono un controllo per assicurarsi della legittimità degli input. Ma alcuni processi non hanno protezione adeguata nell'esecuzione delle istruzioni. In tale attacco, non esiste una libreria su disco o un file eseguibile contenente codice malevolo. Tutto è conservato in memoria insieme al processo sfruttato.
Ora vediamo come attivare la raccolta di eventi di questo tipo in Windows e con la regola in InTrust, che fornisce protezione contro tali minacce. Iniziamo attivandola tramite la console di gestione di InTrust.
La regola sfrutta le capacità di monitoraggio dei processi del sistema operativo Windows. Purtroppo, l'attivazione della raccolta di tali eventi non è affatto ovvia. È necessario modificare 3 diverse impostazioni della policy di gruppo:
Configurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Criteri locali > Politica di audit > Audit del tracciamento dei processi
Configurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Configurazione avanzata della politica di audit > Politiche di audit > Tracciamento dettagliato > Audit della creazione di processi
Configurazione computer > Criteri > Modelli amministrativi > Sistema > Creazione di processi Audit > Includi la riga di comando negli eventi di creazione dei processi
Dopo l'attivazione, le regole di InTrust permettono di rilevare minacce sconosciute che mostrano comportamenti sospetti. Ad esempio, è possibile identificare il malware Dridex. Grazie al progetto HP Bromium, sappiamo come funziona tale minaccia.
Nella sua catena di azioni, Dridex utilizza schtasks.exe per creare un'attività pianificata. L'uso di questo specifico strumento dalla riga di comando è considerato un comportamento piuttosto sospetto, simile all'esecuzione di svchost.exe con parametri che puntano a cartelle utente o con parametri simili ai comandi «net view» o «whoami». Ecco un frammento della corrispondente :
detection:
selection1:
CommandLine: '*svchost.exe C:\Users\*Desktop\*'
selection2:
ParentImage: '*svchost.exe*'
CommandLine:
- '*whoami.exe /all'
- '*net.exe view'
condition: 1 di essiIn InTrust tutto comportamento sospetto è incluso in un'unica regola, poiché la maggior parte di queste azioni non è specifica per una particolare minaccia, ma piuttosto è sospetta nel complesso e viene utilizzata nel 99% dei casi per scopi poco nobili. Questo elenco di azioni include, ma non si limita a:
- Processi eseguiti da posizioni insolite, come le cartelle temporanee degli utenti.
- Processo di sistema ben noto con eredità sospetta: alcune minacce possono cercare di utilizzare nomi di processi di sistema per rimanere inosservate.
- Esecuzioni sospette di strumenti amministrativi, come cmd o PsExec, quando utilizzano credenziali di sistema locale o un'eredità sospetta.
- Operazioni di copia shadow sospette: un comportamento comune dei ransomware prima di crittografare il sistema, uccidono i backup:
— Tramite vssadmin.exe;
— Tramite WMI. - Dump di registro di interi rami del registro.
- Movimento laterale di codice malevolo mediante l'avvio remoto di un processo utilizzando comandi come at.exe.
- Operazioni locali e di dominio sospette utilizzando net.exe.
- Operazioni sospette di firewall utilizzando netsh.exe.
- Manipolazioni sospette delle ACL.
- Utilizzo di BITS per l'exfiltrazione dei dati.
- Manipolazioni sospette di WMI.
- Comandi di script sospetti.
- Tentativi di dump di file di sistema sicuri.
La regola unificata funziona molto bene per rilevare minacce come RUYK, LockerGoga e altri ransomware, malware e toolkit per crimine informatico. La regola è stata verificata dal fornitore in ambienti reali, per minimizzare i falsi positivi. E grazie al progetto SIGMA, la maggior parte di questi indicatori produce un numero minimo di eventi di rumore.
Poiché InTrust è una regola di monitoraggio, è possibile eseguire uno script di risposta come reazione a una minaccia. Puoi utilizzare uno degli script predefiniti o creare il tuo, e InTrust lo distribuirà automaticamente.
Inoltre, puoi controllare tutta la telemetria associata all'evento: script PowerShell, esecuzione di processi, manipolazioni di attività pianificate, attività amministrativa WMI e utilizzarle per postmortem in caso di incidenti di sicurezza.
In InTrust ci sono centinaia di altre regole, alcune delle quali:
- Rilevazione di attacchi di downgrade di PowerShell - quando qualcuno utilizza intenzionalmente una versione precedente di PowerShell, poiché nelle versioni più vecchie non c'era la possibilità di audit.
- Rilevazione di accessi ad alto privilegio - quando le credenziali che sono membri di un determinato gruppo privilegiato (come gli amministratori di dominio) accedono interattivamente per errore o a causa di incidenti di sicurezza a workstation.
InTrust consente di utilizzare le migliori pratiche di sicurezza attraverso regole predefinite di rilevamento e risposta. Se ritieni che qualcosa debba funzionare in modo diverso, puoi creare una copia della regola e personalizzarla secondo le tue necessità. Puoi inviare una richiesta per un pilota o per ottenere distribuzioni con licenze temporanee tramite sul nostro sito.
Iscriviti alla nostra , dove pubblichiamo note brevi e link interessanti.
Leggi altri nostri articoli sul tema della sicurezza informatica:
(articolo popolare)
Fonte: habr.com
