ការប្រមាញ់សម្រាប់បច្ចេកទេសវាយប្រហារ និងយុទ្ធសាស្ត្រដោយប្រើឯកសារ Prefetch

ឯកសារតាមដាន ឬឯកសារ Prefetch មាននៅក្នុង Windows តាំងពី XP ។ ចាប់តាំងពីពេលនោះមក ពួកគេបានជួយផ្នែកកោសល្យវិច្ច័យឌីជីថល និងអ្នកឯកទេសឆ្លើយតបឧប្បត្តិហេតុកុំព្យូទ័រស្វែងរកដាននៃកម្មវិធី រួមទាំងមេរោគផងដែរ។ អ្នកឯកទេសឈានមុខគេផ្នែកកោសល្យវិច្ច័យកុំព្យូទ័រ Group-IB Oleg Skulkin ប្រាប់អ្នកពីអ្វីដែលអ្នកអាចរកបានដោយប្រើឯកសារ Prefetch និងរបៀបធ្វើវា។

Prefetch ឯកសារត្រូវបានរក្សាទុកក្នុងថត %SystemRoot% Prefetch និងបម្រើដើម្បីបង្កើនល្បឿនដំណើរការនៃការចាប់ផ្តើមកម្មវិធី។ ប្រសិនបើយើងក្រឡេកមើលឯកសារទាំងនេះ យើងនឹងឃើញថាឈ្មោះរបស់វាមានពីរផ្នែក៖ ឈ្មោះនៃឯកសារដែលអាចប្រតិបត្តិបាន និង checksum ប្រាំបីតួអក្សរពីផ្លូវទៅកាន់វា។

ឯកសារ Prefetch មានព័ត៌មានជាច្រើនដែលមានប្រយោជន៍តាមទស្សនៈរបស់កោសល្យវិច្ច័យ៖ ឈ្មោះនៃឯកសារដែលអាចប្រតិបត្តិបាន ចំនួនដងដែលវាត្រូវបានប្រតិបត្តិ បញ្ជីឯកសារ និងថតឯកសារដែលឯកសារដែលអាចប្រតិបត្តិបានអន្តរកម្ម ហើយជាការពិត ត្រាពេលវេលា។ ជាធម្មតា អ្នកវិទ្យាសាស្ត្រកោសល្យវិច្ច័យប្រើប្រាស់កាលបរិច្ឆេទបង្កើតឯកសារ Prefetch ជាក់លាក់មួយដើម្បីកំណត់កាលបរិច្ឆេទដែលកម្មវិធីត្រូវបានចាប់ផ្តើមដំបូង។ លើសពីនេះទៀត ឯកសារទាំងនេះរក្សាទុកកាលបរិច្ឆេទនៃការបើកដំណើរការចុងក្រោយរបស់វា ហើយចាប់ផ្តើមពីកំណែ 26 (Windows 8.1) - ត្រាពេលវេលានៃការដំណើរការចុងក្រោយបំផុតទាំងប្រាំពីរ។

តោះយកឯកសារ Prefetch មួយ ស្រង់ទិន្នន័យចេញពីវាដោយប្រើ PECmd របស់ Eric Zimmerman ហើយមើលផ្នែកនីមួយៗរបស់វា។ ដើម្បីបង្ហាញ ខ្ញុំនឹងស្រង់ទិន្នន័យចេញពីឯកសារមួយ។ CCLEANER64.EXE-DE05DBE1.pf.

ដូច្នេះសូមចាប់ផ្តើមពីកំពូល។ ជា​ការ​ពិត​ណាស់ យើង​មាន​ការ​បង្កើត​ឯកសារ ការ​កែប្រែ និង​ការ​ចូល​ប្រើប្រាស់​ពេលវេលា៖

ពួកវាត្រូវបានបន្តដោយឈ្មោះនៃឯកសារដែលអាចប្រតិបត្តិបាន ការត្រួតពិនិត្យនៃផ្លូវទៅកាន់វា ទំហំនៃឯកសារដែលអាចប្រតិបត្តិបាន និងកំណែនៃឯកសារ Prefetch៖

ចាប់តាំងពីយើងកំពុងដោះស្រាយជាមួយ Windows 10 បន្ទាប់មកយើងនឹងឃើញចំនួននៃការចាប់ផ្តើម កាលបរិច្ឆេទ និងពេលវេលានៃការចាប់ផ្តើមចុងក្រោយ និងការបោះត្រាចំនួនប្រាំពីរទៀតដែលបង្ហាញពីកាលបរិច្ឆេទនៃការចាប់ផ្តើមមុន៖

ទាំងនេះត្រូវបានបន្តដោយព័ត៌មានអំពីបរិមាណ រួមទាំងលេខស៊េរី និងកាលបរិច្ឆេទបង្កើតរបស់វា៖

ចុងក្រោយប៉ុន្តែមិនបានយ៉ាងហោចណាស់គឺជាបញ្ជីនៃថត និងឯកសារដែលអាចប្រតិបត្តិបានអន្តរកម្មជាមួយ៖

ដូច្នេះ ថតឯកសារ និងឯកសារដែលអាចប្រតិបត្តិបានអន្តរកម្មជាមួយ គឺពិតជាអ្វីដែលខ្ញុំចង់ផ្តោតលើថ្ងៃនេះ។ វាគឺជាទិន្នន័យនេះដែលអនុញ្ញាតឱ្យអ្នកឯកទេសផ្នែកកោសល្យវិច្ច័យឌីជីថល ការឆ្លើយតបឧប្បត្តិហេតុកុំព្យូទ័រ ឬការប្រមាញ់ការគំរាមកំហែងយ៉ាងសកម្ម ដើម្បីបង្កើតមិនត្រឹមតែការពិតនៃការប្រតិបត្តិឯកសារជាក់លាក់ប៉ុណ្ណោះទេ ប៉ុន្តែក្នុងករណីខ្លះផងដែរ ដើម្បីបង្កើតឡើងវិញនូវយុទ្ធសាស្ត្រ និងបច្ចេកទេសជាក់លាក់របស់អ្នកវាយប្រហារ។ សព្វថ្ងៃនេះ អ្នកវាយប្រហារតែងតែប្រើឧបករណ៍ដើម្បីលុបទិន្នន័យជាអចិន្ត្រៃយ៍ ឧទាហរណ៍ SDelete ដូច្នេះសមត្ថភាពក្នុងការស្តារឡើងវិញយ៉ាងហោចណាស់នូវដាននៃការប្រើប្រាស់យុទ្ធសាស្ត្រ និងបច្ចេកទេសជាក់លាក់គឺចាំបាច់សម្រាប់អ្នកការពារសម័យទំនើបណាមួយ - អ្នកឯកទេសកោសល្យវិច្ច័យកុំព្យូទ័រ អ្នកឯកទេសឆ្លើយតបឧប្បត្តិហេតុ ThreatHunter អ្នកជំនាញ។

តោះចាប់ផ្តើមជាមួយ វិធីសាស្ត្រចូលប្រើដំបូង (TA0001) និងបច្ចេកទេសដ៏ពេញនិយមបំផុតគឺ Spearphishing Attachment (T1193)។ ក្រុមឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតមួយចំនួនមានភាពច្នៃប្រឌិតក្នុងជម្រើសនៃការវិនិយោគរបស់ពួកគេ។ ឧទាហរណ៍ ក្រុម Silence បានប្រើឯកសារក្នុងទម្រង់ CHM (Microsoft Compiled HTML Help) សម្រាប់រឿងនេះ។ ដូច្នេះយើងមានបច្ចេកទេសមួយផ្សេងទៀត - ឯកសារ HTML ដែលចងក្រង (T1223) ។ ឯកសារបែបនេះត្រូវបានដាក់ឱ្យដំណើរការដោយប្រើ hh.exeដូច្នេះ ប្រសិនបើយើងស្រង់ទិន្នន័យចេញពីឯកសារ Prefetch របស់វា យើងនឹងដឹងថាឯកសារមួយណាត្រូវបានបើកដោយជនរងគ្រោះ៖

ចូរបន្តធ្វើការជាមួយឧទាហរណ៍ពីករណីពិត ហើយបន្តទៅវិធីសាស្ត្រប្រតិបត្តិបន្ទាប់ (TA0002) និងបច្ចេកទេស CSMTP (T1191)។ កម្មវិធីដំឡើងទម្រង់កម្មវិធីគ្រប់គ្រងការភ្ជាប់ Microsoft (CMSTP.exe) អាចត្រូវបានប្រើដោយអ្នកវាយប្រហារដើម្បីដំណើរការស្គ្រីបព្យាបាទ។ ឧទាហរណ៍ដ៏ល្អមួយគឺក្រុម Cobalt ។ ប្រសិនបើយើងស្រង់ទិន្នន័យចេញពីឯកសារ Prefetch cmstp.exeបន្ទាប់មក យើង​អាច​រក​ឃើញ​ម្តងទៀត​នូវ​អ្វី​ដែល​ត្រូវ​បាន​ដាក់​ឱ្យ​ដំណើរការ​ពិតប្រាកដ៖

បច្ចេកទេសដ៏ពេញនិយមមួយទៀតគឺ Regsvr32 (T1117) ។ Regsvr32.exe អ្នកវាយប្រហារត្រូវបានប្រើជាញឹកញាប់ផងដែរ ដើម្បីចាប់ផ្តើម។ នេះគឺជាឧទាហរណ៍មួយទៀតពីក្រុម Cobalt៖ ប្រសិនបើយើងស្រង់ទិន្នន័យចេញពីឯកសារ Prefetch regsvr32.exeបន្ទាប់មកម្តងទៀត យើងនឹងឃើញអ្វីដែលត្រូវបានដាក់ឱ្យដំណើរការ៖

យុទ្ធសាស្ត្របន្ទាប់គឺការតស៊ូ (TA0003) និងការកើនឡើងសិទ្ធិ (TA0004) ដោយមាន Application Shimming (T1138) ជាបច្ចេកទេសមួយ។ បច្ចេកទេសនេះត្រូវបានប្រើដោយ Carbanak/FIN7 ដើម្បីបោះយុថ្កាប្រព័ន្ធ។ ជាធម្មតាត្រូវបានប្រើដើម្បីធ្វើការជាមួយមូលដ្ឋានទិន្នន័យភាពឆបគ្នានៃកម្មវិធី (.sdb) sdbinst.exe. ដូច្នេះ ឯកសារ Prefetch ដែលអាចប្រតិបត្តិបាននេះ អាចជួយយើងស្វែងរកឈ្មោះនៃមូលដ្ឋានទិន្នន័យ និងទីតាំងរបស់ពួកគេ៖

ដូចដែលអ្នកអាចឃើញក្នុងរូបភាព យើងមិនត្រឹមតែឈ្មោះឯកសារដែលប្រើសម្រាប់ដំឡើងប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានឈ្មោះនៃមូលដ្ឋានទិន្នន័យដែលបានដំឡើងផងដែរ។

សូមក្រឡេកមើលឧទាហរណ៍មួយក្នុងចំណោមឧទាហរណ៍ទូទៅបំផុតនៃការផ្សព្វផ្សាយបណ្តាញ (TA0008) PsExec ដោយប្រើភាគហ៊ុនរដ្ឋបាល (T1077) ។ សេវាកម្មដែលមានឈ្មោះថា PSEXECSVC (ជាការពិតណាស់ ឈ្មោះផ្សេងទៀតអាចប្រើប្រាស់បាន ប្រសិនបើអ្នកវាយប្រហារបានប្រើប៉ារ៉ាម៉ែត្រ -r) នឹងត្រូវបានបង្កើតនៅលើប្រព័ន្ធគោលដៅ ដូច្នេះប្រសិនបើយើងស្រង់ទិន្នន័យចេញពីឯកសារ Prefetch យើងនឹងឃើញអ្វីដែលត្រូវបានដាក់ឱ្យដំណើរការ៖

ខ្ញុំប្រហែលជានឹងបញ្ចប់កន្លែងដែលខ្ញុំចាប់ផ្តើម - ការលុបឯកសារ (T1107) ។ ដូចដែលខ្ញុំបានកត់សម្គាល់រួចហើយ អ្នកវាយប្រហារជាច្រើនប្រើ SDelete ដើម្បីលុបឯកសារជាអចិន្ត្រៃយ៍នៅដំណាក់កាលផ្សេងៗនៃវដ្តនៃការវាយប្រហារ។ ប្រសិនបើយើងមើលទិន្នន័យពីឯកសារ Prefetch sdelete.exeបន្ទាប់មកយើងនឹងឃើញអ្វីដែលត្រូវលុបយ៉ាងពិតប្រាកដ៖

ជាការពិតណាស់ នេះមិនមែនជាបញ្ជីបច្ចេកទេសពេញលេញដែលអាចត្រូវបានរកឃើញក្នុងអំឡុងពេលការវិភាគនៃឯកសារ Prefetch នោះទេ ប៉ុន្តែនេះគួរតែគ្រប់គ្រាន់ដើម្បីយល់ថាឯកសារបែបនេះអាចជួយមិនត្រឹមតែស្វែងរកដាននៃការបើកដំណើរការប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងបង្កើតឡើងវិញនូវយុទ្ធសាស្ត្រ និងបច្ចេកទេសវាយប្រហារជាក់លាក់ផងដែរ។ .

ប្រភព: www.habr.com