{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Attiviamo la raccolta di eventi sul lancio di processi sospetti in Windows e identifichiamo le minacce utilizzando Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Attiviamo
\n
\nUno dei tipi di attacco pi\u00f9 comuni \u00e8 la generazione di un processo malevolo all'interno di un albero di processi apparentemente legittimi. Un sospetto pu\u00f2 sorgere dal percorso del file eseguibile: frequentemente il malware utilizza le cartelle AppData o Temp, un comportamento che non \u00e8 tipico per i programmi legittimi. A onor del vero, va detto che alcune utilit\u00e0 di aggiornamento automatico vengono eseguite in AppData, quindi controllare solo il percorso di avvio non \u00e8 sufficiente per affermare che un programma sia malevolo.<\/p>\n

Un ulteriore fattore di legittimit\u00e0 \u00e8 la firma crittografica: molti programmi originali sono firmati dal fornitore. Si pu\u00f2 utilizzare l'assenza di firma come metodo per identificare elementi sospetti all'avvio. Ma ancora una volta, esiste malware che utilizza certificati rubati per firmarsi da solo.<\/p>\n

\u00c8 possibile anche controllare i valori degli hash crittografici MD5 o SHA256, che possono corrispondere a programmi malevoli precedentemente identificati. Si pu\u00f2 eseguire un'analisi statica esaminando le firme nel programma (tramite regole Yara o prodotti antivirus). Inoltre, c'\u00e8 l'analisi dinamica (eseguire il programma in un ambiente sicuro e monitorarne il comportamento) e il reverse engineering.<\/p>\n

I segnali di un processo malevolo possono essere numerosi. In questo articolo parleremo di come abilitare l'audit degli eventi pertinenti in Windows, esamineremo i segnali su cui si basa la regola integrata InTrust<\/a><\/noindex> per identificare un processo sospetto. InTrust \u00e8 piattaforma CLM<\/a><\/noindex> per la raccolta, analisi e archiviazione di dati non strutturati, con gi\u00e0 centinaia di reazioni preimpostate per diversi tipi di attacchi.
\n<\/a><\/noindex>
\nQuando si avvia un programma, esso viene caricato nella memoria del computer. Il file eseguibile contiene istruzioni per il computer e librerie ausiliarie (ad esempio, *.dll). Quando un processo \u00e8 gi\u00e0 in esecuzione, pu\u00f2 creare ulteriori thread. I thread consentono al processo di eseguire insiemi diversi di istruzioni contemporaneamente. Ci sono molti modi in cui il codice malevolo pu\u00f2 penetrare nella memoria e avviarsi, vediamo alcuni di essi.<\/p>\n

Il modo pi\u00f9 semplice per avviare un processo dannoso \u00e8 costringere l'utente a lanciarlo direttamente (ad esempio, da un allegato di posta elettronica) e poi utilizzare la chiave RunOnce per avviarlo ad ogni accensione del computer. Qui si pu\u00f2 anche includere il malware \"senza file\", che memorizza script PowerShell nelle chiavi di registro, che vengono eseguiti in base a un trigger. In questo caso, lo script PowerShell \u00e8 il codice dannoso.<\/p>\n

Il problema con l'avvio esplicito di software dannoso \u00e8 che \u00e8 un approccio noto e facilmente rilevabile. Alcuni malware adottano tecniche pi\u00f9 astute, ad esempio utilizzando un altro processo per avviarsi in memoria. Di conseguenza, il processo pu\u00f2 creare un altro processo eseguendo un'istruzione informatica specifica e indicando l'eseguibile (.exe) da avviare.<\/p>\n

Un file pu\u00f2 essere specificato utilizzando il percorso completo (ad esempio, C:Windowssystem32cmd.exe) o parziale (ad esempio, cmd.exe). Se il processo sorgente non \u00e8 sicuro, pu\u00f2 consentire l'esecuzione di programmi non legittimi. Un attacco potrebbe apparire cos\u00ec: il processo avvia cmd.exe senza indicare il percorso completo, l'aggressore colloca il proprio cmd.exe in un luogo tale che il processo lo avvii prima di quello legittimo. Dopo aver avviato il software dannoso, questo pu\u00f2 a sua volta avviare un programma legittimo (ad esempio, C:Windowssystem32cmd.exe) affinch\u00e9 il programma sorgente continui a funzionare correttamente.<\/p>\n

Una variante del precedente attacco \u00e8 l'iniezione di DLL in un processo legittimo. Quando un processo viene avviato, trova e carica librerie che ne espandono le funzionalit\u00e0. Utilizzando l'iniezione di DLL, l'aggressore crea una libreria dannosa con lo stesso nome e API di quella legittima. Il programma carica la libreria dannosa, che a sua volta carica quella legittima e, se necessario, richiama quest'ultima per eseguire operazioni. La libreria dannosa funge quindi da proxy per la buona libreria.<\/p>\n

Un altro modo per inserire codice dannoso nella memoria \u00e8 integrarlo in un processo non sicuro gi\u00e0 in esecuzione. I processi ricevono dati da varie fonti, leggendo da rete o file. Di solito, effettuano un controllo per assicurarsi della legittimit\u00e0 dei dati in ingresso. Tuttavia, alcuni processi non hanno adeguate protezioni durante l'esecuzione delle istruzioni. In questo tipo di attacco non esiste alcuna libreria su disco o file eseguibile contenente codice dannoso. Tutto \u00e8 memorizzato in memoria insieme al processo sfruttabile.<\/p>\n

Ora esaminiamo il metodo per attivare la raccolta di eventi simili in Windows e la regola in InTrust che implementa la protezione contro tali minacce. Innanzitutto, attiviamolo tramite la console di gestione di InTrust.<\/p>\n

\"Attiviamo
\n
\nLa regola utilizza le funzionalit\u00e0 di tracciamento dei processi dell'OS Windows. Sfortunatamente, attivare la raccolta di questi eventi non \u00e8 affatto ovvio. \u00c8 necessario modificare 3 diverse impostazioni della group policy:<\/p>\n

Configurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Criteri locali > Politica di audit > Audit del tracciamento dei processi<\/b><\/p>\n

\"Attiviamo
\n
\nConfigurazione computer > Criteri > Impostazioni Windows > Impostazioni di sicurezza > Configurazione avanzata della politica di audit > Politiche di audit > Tracciamento dettagliato > Audit della creazione di processi<\/b><\/p>\n

\"Attiviamo
\n
\nConfigurazione computer > Criteri > Modelli amministrativi > Sistema > Audit della creazione di processi > Includi riga di comando negli eventi di creazione processi<\/b><\/p>\n

\"Attiviamo
\n
\nDopo aver attivato, le regole di InTrust consentono di rilevare minacce precedentemente sconosciute che mostrano comportamenti sospetti. Ad esempio, si possono identificare quelli descritti qui<\/a><\/noindex> il malware Dridex. Grazie al progetto HP Bromium, si conosce la struttura di tale minaccia.<\/p>\n

\"Attiviamo
\n
\nNella sua catena di azioni, Dridex utilizza schtasks.exe per creare un'attivit\u00e0 pianificata. L'utilizzo di questo specifico strumento da linea di comando \u00e8 considerato un comportamento piuttosto sospetto, simile all'esecuzione di svchost.exe con parametri che puntano a cartelle utente o con parametri simili a comandi come \"net view\" o \"whoami\". Ecco un frammento della relativa regola SIGMA<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nIn InTrust, tutto il comportamento sospetto \u00e8 incluso in una sola regola, poich\u00e9 la maggior parte di queste azioni non sono specifiche per una minaccia particolare, ma piuttosto sospette nel complesso e vengono utilizzate nel 99% dei casi per scopi poco nobili. Questo elenco di azioni include, ma non si limita a:<\/p>\n