{"id":41614,"date":"2020-02-13T20:48:26","date_gmt":"2020-02-13T17:48:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov"},"modified":"2020-02-13T20:48:26","modified_gmt":"2020-02-13T17:48:26","slug":"ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","title":{"rendered":"Cacciamo le tecniche e le tattiche degli attaccanti utilizzando file Prefetch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Cacciamo
\n
\nI file di prefetch, o file di Prefetch, sono stati introdotti in Windows gi\u00e0 ai tempi di XP. Da allora, hanno aiutato gli esperti di criminalistica digitale e risposta agli incidenti informatici a trovare tracce di avvio delle applicazioni, comprese quelle dannose. L'esperto di criminalistica informatica di Group-IB Oleg Skulkin<\/b> spiega cosa si pu\u00f2 trovare grazie ai file di Prefetch e come farlo.<\/a><\/noindex><\/p>\n

I file di Prefetch sono archiviati nella cartella %SystemRoot%Prefetch<\/b> e servono ad accelerare il processo di avvio delle applicazioni. Se guardiamo uno di questi file, possiamo notare che il suo nome \u00e8 composto da due parti: il nome del file eseguibile e un checksum del percorso, formato da otto caratteri.<\/p>\n

I file di Prefetch contengono una quantit\u00e0 notevole di informazioni utili dal punto di vista forense: il nome del file eseguibile, il numero di avvii, l'elenco dei file e delle cartelle con cui il file eseguibile ha interagito, e ovviamente, i timestamp. Di solito, i criminalisti utilizzano la data di creazione di un file di Prefetch per determinare la data del primo avvio dell'applicazione. Inoltre, questi file memorizzano anche la data dell'ultimo avvio e, a partire dalla versione 26 (Windows 8.1), i timestamp dei sette ultimi avvii.<\/p>\n

Prendiamo uno dei file di Prefetch, estraiamo i dati tramite PECmd di Eric Zimmermann e guardiamo ciascuna delle loro parti. Per la dimostrazione, estrarr\u00f2 i dati dal file CCLEANER64.EXE-DE05DBE1.pf<\/b>.<\/p>\n

Iniziamo dalla parte superiore. Naturalmente, abbiamo i timestamp di creazione, modifica e accesso al file:<\/p>\n

\"Cacciamo
\nSeguono il nome del file eseguibile, il checksum del percorso, la dimensione del file eseguibile, cos\u00ec come la versione del file di Prefetch:<\/p>\n

\"Cacciamo
\nPoich\u00e9 abbiamo a che fare con Windows 10, successivamente vedremo il numero di avvii, la data e l'ora dell'ultimo avvio e altri sette timestamp che indicano le date di avvio precedenti:<\/p>\n

\"Cacciamo
\nPoi ci sono informazioni sul volume, incluso il numero di serie e la data di creazione:<\/p>\n

\"Cacciamo
\nUltimo, ma non meno importante, c'\u00e8 l'elenco delle cartelle e dei file con cui il file eseguibile ha interagito: <\/p>\n

\"Cacciamo
\nQuindi, i cataloghi e i file con cui interagiva il file eseguibile sono proprio ci\u00f2 su cui voglio concentrarmi oggi. Questi dati consentono agli specialisti di digital forensics, gestione degli incidenti informatici o ricerca proattiva delle minacce di stabilire non solo il fatto che un certo file sia stato eseguito, ma anche, in alcuni casi, di ricostruire le specifiche tattiche e tecniche degli aggressori. Oggi, i criminali informatici utilizzano spesso strumenti per l'eliminazione definitiva dei dati, come SDelete, quindi la capacit\u00e0 di recuperare almeno tracce dell'uso di specifiche tattiche e tecniche \u00e8 assolutamente necessaria per qualsiasi moderno difensore: un esperto di digital forensics, un professionista della gestione degli incidenti, un esperto ThreatHunter.<\/p>\n

Iniziamo con la tattica Accesso Iniziale (TA0001) e la tecnica pi\u00f9 popolare \u2014 Spearphishing Attachment (T1193). Alcuni gruppi di criminalit\u00e0 informatica sono piuttosto creativi nella scelta di tali allegati. Ad esempio, il gruppo Silence ha utilizzato file in formato CHM (Microsoft Compiled HTML Help). Cos\u00ec ci troviamo di fronte a un'altra tecnica \u2014 Compiled HTML File (T1223). Questi file vengono eseguiti tramite hh.exe<\/b>, quindi, se estraiamo i dati dal suo file Prefetch, scopriremo quale file specifico \u00e8 stato aperto dalla vittima:<\/p>\n

\"Cacciamo
\nContinuiamo a lavorare con esempi da casi reali e passiamo alla prossima tattica Esecuzione (TA0002) e tecnica CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) pu\u00f2 essere utilizzato dagli aggressori per eseguire script dannosi. Un buon esempio \u00e8 il gruppo Cobalt. Se estraiamo i dati dal file Prefetch cmstp.exe<\/b>, scopriremo di nuovo cosa \u00e8 stato eseguito:<\/p>\n

\"Cacciamo
\nUn'altra tecnica popolare \u00e8 Regsvr32 (T1117). Regsvr32.exe<\/b> viene anche utilizzato frequentemente dagli aggressori per eseguire. Ecco un altro esempio dal gruppo Cobalt: se estraiamo i dati dal file Prefetch regsvr32.exe<\/b>, vedremo di nuovo cosa \u00e8 stato eseguito:<\/p>\n

\"Cacciamo
\nLe prossime tattiche sono Persistenza (TA0003) e Elevazione di Privilegi (TA0004), oltre a Application Shimming (T1138) come tecnica. Questa tecnica \u00e8 stata utilizzata da Carbanak\/FIN7 per stabilirsi nel sistema. Di solito, si utilizza sdbinst.exe<\/b>per lavorare con i database di informazioni sulla compatibilit\u00e0 delle applicazioni (.sdb). Pertanto, il file Prefetch di questo file eseguibile pu\u00f2 aiutarci a conoscere i nomi di tali database e la loro posizione:<\/p>\n

\"Cacciamo
\nCome si pu\u00f2 vedere nell'illustrazione, abbiamo non solo il nome del file utilizzato per l'installazione, ma anche il nome del database installato.<\/p>\n

Diamo un'occhiata a uno degli esempi pi\u00f9 tipici di promozione in rete (TA0008) \u2014 PsExec, che usa risorse condivise amministrative (T1077). Un servizio chiamato PSEXECSVC (naturalmente, pu\u00f2 essere utilizzato anche qualsiasi altro nome, se gli attaccanti hanno usato il parametro -r<\/b>) sar\u00e0 creato sul sistema target, quindi se estraiamo i dati dal file Prefetch, vedremo che \u00e8 stato eseguito:<\/p>\n

\"Cacciamo
\nConcluder\u00f2, direi, con ci\u00f2 da cui ho iniziato \u2014 la cancellazione dei file (T1107). Come ho gi\u00e0 notato, molti attaccanti usano SDelete per la cancellazione permanente dei file in diverse fasi del ciclo di vita dell'attacco. Se diamo un'occhiata ai dati dal file Prefetch sdelete.exe<\/b>, vedremo esattamente cosa \u00e8 stato eliminato:<\/p>\n

\"Cacciamo<\/p>\n

Naturalmente, questa non \u00e8 una lista esaustiva delle tecniche che possono essere scoperte analizzando i file Prefetch, ma dovrebbe essere pi\u00f9 che sufficiente per capire che tali file possono aiutare non solo a trovare tracce di esecuzione, ma anche a ricostruire specifiche tattiche e tecniche degli attaccanti.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0424\u0430\u0439\u043b\u044b \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438, \u0438\u043b\u0438 Prefetch-\u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Windows \u0435\u0449\u0435 \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d XP. \u0421 \u0442\u0435\u0445 \u043f\u043e\u0440 \u043e\u043d\u0438 \u043f\u043e\u043c\u043e\u0433\u0430\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c \u043f\u043e \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445. \u0412\u0435\u0434\u0443\u0449\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 Group-IB \u041e\u043b\u0435\u0433 \u0421\u043a\u0443\u043b\u043a\u0438\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. Prefetch-\u0444\u0430\u0439\u043b\u044b \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":41615,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41614","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cacciamo tecniche e tattiche degli attaccanti usando i file Prefetch | ProHoster","description":"File.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0445\u043e\u0442\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 | ProHoster","og:description":"\u0424\u0430\u0439\u043b\u044b.","og:url":"https:\/\/prohoster.info\/it\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-13T17:48:26+00:00","article:modified_time":"2020-02-13T17:48:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41614","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:13:40","updated":"2022-09-28 14:43:35","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/41614","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=41614"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/41614\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/41615"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=41614"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=41614"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=41614"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}