{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Attiviamo la raccolta di eventi riguardanti l'avvio di processi sospetti in Windows e identifichiamo le minacce con Quest InTrust.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Attiviamo
\n
\nUno dei tipi di attacco pi\u00f9 comuni \u00e8 la generazione di un processo malevolo all'interno di un albero di processi apparentemente legittimi. Un'indicazione sospetta pu\u00f2 essere il percorso del file eseguibile: spesso il malware utilizza le cartelle AppData o Temp, cosa che non \u00e8 tipica dei programmi legittimi. Tuttavia, va detto che alcune utility di aggiornamento automatico vengono eseguite in AppData, quindi controllare solo il luogo di avvio non \u00e8 sufficiente per affermare che un programma sia malevolo.<\/p>\n

Un ulteriore fattore di legittimit\u00e0 \u00e8 la firma crittografica: molti programmi originali sono firmati dal venditore. Si pu\u00f2 utilizzare l'assenza di una firma come metodo per identificare elementi sospetti nell'avvio automatico. Ma ci sono anche malware che utilizzano certificati rubati per firmarsi.<\/p>\n

Si possono anche controllare i valori degli hash crittografici MD5 o SHA256, che possono corrispondere a malware precedentemente scoperti. \u00c8 possibile eseguire un'analisi statica esaminando le firme nel programma (utilizzando regole Yara o prodotti antivirus). Inoltre, esiste un'analisi dinamica (eseguendo il programma in un ambiente sicuro e monitorando il suo comportamento) e il reverse engineering.<\/p>\n

Ci sono molti segni di un processo malevolo. In questo articolo spiegheremo come attivare l'audit degli eventi pertinenti in Windows, analizzeremo i segnali su cui si basa la regola integrata InTrust<\/a><\/noindex> per identificare processi sospetti. InTrust \u00e8 piattaforma CLM<\/a><\/noindex> per la raccolta, l'analisi e la conservazione di dati non strutturati, con gi\u00e0 centinaia di reazioni preimpostate a vari tipi di attacchi.
\n<\/a><\/noindex>
\nQuando un programma viene avviato, viene caricato nella memoria del computer. Il file eseguibile contiene istruzioni informatiche e librerie ausiliarie (ad esempio, *.dll). Quando il processo \u00e8 gi\u00e0 in esecuzione, pu\u00f2 creare flussi aggiuntivi. I flussi consentono al processo di eseguire diversi set di istruzioni simultaneamente. Ci sono molti modi in cui il codice malevolo pu\u00f2 infiltrarsi nella memoria e avviarsi, vediamo alcuni di essi.<\/p>\n

Il modo pi\u00f9 semplice per avviare un processo malevolo \u00e8 costringere l'utente a eseguirlo direttamente (ad esempio, da un allegato e-mail), quindi utilizzare una chiave RunOnce per avviarlo ad ogni accensione del computer. A questo si aggiunge il malware \"fileless\", che memorizza script di PowerShell nelle chiavi di registro, che vengono eseguiti in base a un trigger. In questo caso, lo script di PowerShell \u00e8 il codice malevolo.<\/p>\n

Il problema con l'esecuzione esplicita del software malevolo \u00e8 che questo \u00e8 un approccio noto, facilmente rilevabile. Alcuni malware adottano misure pi\u00f9 astute, ad esempio, utilizzando un altro processo per avviarsi nella memoria. Di conseguenza, il processo pu\u00f2 creare un altro processo eseguendo un'istruzione informatica specifica e specificando un file eseguibile (.exe) da avviare.<\/p>\n

Il file pu\u00f2 essere specificato utilizzando il percorso completo (ad esempio, C:\\Windows\\system32\\cmd.exe) o un percorso abbreviato (ad esempio, cmd.exe). Se il processo sorgente non \u00e8 sicuro, consentir\u00e0 l'avvio di programmi non legittimi. L'attacco pu\u00f2 apparire in questo modo: il processo avvia cmd.exe senza specificare il percorso completo, il malintenzionato colloca il proprio cmd.exe in un luogo in modo che il processo lo avvii prima del legittimo. Dopo l'avvio del programma malevolo, esso pu\u00f2 avviare a sua volta un programma legittimo (ad esempio, C:\\Windows\\system32\\cmd.exe), in modo che il programma sorgente continui a funzionare correttamente.<\/p>\n

Una variante del precedente attacco \u00e8 l'iniezione di DLL in un processo legittimo. Quando il processo viene avviato, trova e carica le librerie che ne estendono le funzionalit\u00e0. Utilizzando l'iniezione di DLL, il malintenzionato crea una libreria malevola con lo stesso nome e API di quella legittima. Il programma carica la libreria malevola, la quale, a sua volta, carica quella legittima e chiama quest'ultima per eseguire operazioni necessarie. La libreria malevola inizia a fungere da proxy per la buona libreria.<\/p>\n

Un altro modo per inserire codice malevolo nella memoria \u00e8 immetterlo in un processo non sicuro gi\u00e0 in esecuzione. I processi ricevono input da varie fonti: leggono dalla rete o dai file. Di solito eseguono un controllo per assicurarsi della legittimit\u00e0 degli input. Ma alcuni processi non hanno protezione adeguata nell'esecuzione delle istruzioni. In tale attacco, non esiste una libreria su disco o un file eseguibile contenente codice malevolo. Tutto \u00e8 conservato in memoria insieme al processo sfruttato.<\/p>\n

Ora vediamo come attivare la raccolta di eventi di questo tipo in Windows e con la regola in InTrust, che fornisce protezione contro tali minacce. Iniziamo attivandola tramite la console di gestione di InTrust.<\/p>\n

\"Attiviamo
\n
\nLa regola sfrutta le capacit\u00e0 di monitoraggio dei processi del sistema operativo Windows. Purtroppo, l'attivazione della raccolta di tali eventi non \u00e8 affatto ovvia. \u00c8 necessario modificare 3 diverse impostazioni della policy di gruppo:<\/p>\n

Configurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Criteri locali > Politica di audit > Audit del tracciamento dei processi<\/b><\/p>\n

\"Attiviamo
\n
\nConfigurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Configurazione avanzata della politica di audit > Politiche di audit > Tracciamento dettagliato > Audit della creazione di processi<\/b><\/p>\n

\"Attiviamo
\n
\nConfigurazione computer > Criteri > Modelli amministrativi > Sistema > Creazione di processi Audit > Includi la riga di comando negli eventi di creazione dei processi<\/b><\/p>\n

\"Attiviamo
\n
\nDopo l'attivazione, le regole di InTrust permettono di rilevare minacce sconosciute che mostrano comportamenti sospetti. Ad esempio, \u00e8 possibile identificare quanto descritto qui<\/a><\/noindex> il malware Dridex. Grazie al progetto HP Bromium, sappiamo come funziona tale minaccia.<\/p>\n

\"Attiviamo
\n
\nNella sua catena di azioni, Dridex utilizza schtasks.exe per creare un'attivit\u00e0 pianificata. L'uso di questo specifico strumento dalla riga di comando \u00e8 considerato un comportamento piuttosto sospetto, simile all'esecuzione di svchost.exe con parametri che puntano a cartelle utente o con parametri simili ai comandi \u00abnet view\u00bb o \u00abwhoami\u00bb. Ecco un frammento della corrispondente regola SIGMA<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:\\Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 di essi<\/code><\/pre>\n
\nIn InTrust tutto comportamento sospetto \u00e8 incluso in un'unica regola, poich\u00e9 la maggior parte di queste azioni non \u00e8 specifica per una particolare minaccia, ma piuttosto \u00e8 sospetta nel complesso e viene utilizzata nel 99% dei casi per scopi poco nobili. Questo elenco di azioni include, ma non si limita a:<\/p>\n