Prefetch 파일을 활용한 공격 기법 및 전술 사냥

추적 파일 또는 프리페치 파일은 XP부터 Windows에 있었습니다. 그 이후로 이들은 디지털 포렌식 및 컴퓨터 사고 대응 전문가가 맬웨어를 포함한 소프트웨어의 흔적을 찾는 데 도움을 주었습니다. 컴퓨터 포렌식 분야의 선두 전문가 Group-IB 올렉 스컬킨 Prefetch 파일을 사용하여 찾을 수 있는 항목과 이를 수행하는 방법을 알려줍니다.

프리페치 파일은 디렉토리에 저장됩니다. %SystemRoot%프리페치 프로그램 시작 프로세스 속도를 높이는 역할을 합니다. 이러한 파일 중 하나를 살펴보면 해당 이름이 실행 파일 이름과 경로의 XNUMX자 체크섬이라는 두 부분으로 구성되어 있음을 알 수 있습니다.

프리페치 파일에는 실행 파일 이름, 실행 횟수, 실행 파일이 상호 작용한 파일 및 디렉터리 목록, 타임스탬프 등 포렌식 관점에서 유용한 많은 정보가 포함되어 있습니다. 일반적으로 법의학 과학자들은 특정 Prefetch 파일의 생성 날짜를 사용하여 프로그램이 처음 시작된 날짜를 확인합니다. 또한 이러한 파일에는 마지막 실행 날짜와 버전 26(Windows 8.1)부터 가장 최근 실행 XNUMX개의 타임스탬프가 저장됩니다.

Prefetch 파일 중 하나를 가져와서 Eric Zimmerman의 PECmd를 사용하여 데이터를 추출하고 각 부분을 살펴보겠습니다. 시연을 위해 파일에서 데이터를 추출하겠습니다. CCLEANER64.EXE-DE05DBE1.pf.

그럼 위에서부터 시작해보자. 물론 파일 생성, 수정, 액세스 타임스탬프도 있습니다.

그 뒤에는 실행 파일 이름, 해당 경로의 체크섬, 실행 파일 크기, 프리페치 파일 버전이 표시됩니다.

우리는 Windows 10을 다루고 있으므로 다음으로 시작 횟수, 마지막 시작 날짜 및 시간, 이전 출시 날짜를 나타내는 XNUMX개의 타임스탬프를 더 볼 수 있습니다.

그 뒤에는 일련 번호 및 생성 날짜를 포함하여 볼륨에 대한 정보가 표시됩니다.

마지막으로 실행 파일이 상호 작용한 디렉터리 및 파일 목록은 다음과 같습니다.

따라서 실행 파일이 상호 작용하는 디렉터리와 파일이 바로 제가 오늘 집중하고 싶은 것입니다. 디지털 포렌식, 컴퓨터 사고 대응 또는 사전 위협 탐지 전문가가 특정 파일의 실행 사실을 확인할 수 있을 뿐만 아니라 경우에 따라 공격자의 특정 전술과 기술을 재구성할 수 있는 것은 바로 이 데이터입니다. 오늘날 공격자는 데이터를 영구적으로 삭제하는 도구(예: SDelete)를 자주 사용하므로 컴퓨터 포렌식 전문가, 사고 대응 전문가, ThreatHunter 등 모든 현대 방어자에게는 최소한 특정 전술 및 기술 사용의 흔적을 복원하는 기능이 필요합니다. 전문가.

초기 액세스 전술(TA0001)과 가장 널리 사용되는 기술인 스피어피싱 첨부(T1193)부터 시작해 보겠습니다. 일부 사이버 범죄 그룹은 투자 선택에 있어서 매우 창의적입니다. 예를 들어 Silence 그룹에서는 이를 위해 CHM(Microsoft Compiled HTML Help) 형식의 파일을 사용했습니다. 따라서 우리 앞에는 컴파일된 HTML 파일(T1223)이라는 또 다른 기술이 있습니다. 이러한 파일은 다음을 사용하여 시작됩니다. hh.exe따라서 Prefetch 파일에서 데이터를 추출하면 피해자가 어떤 파일을 열었는지 알 수 있습니다.

실제 사례의 예제를 계속 사용하고 다음 실행 전술(TA0002)과 CSMTP 기술(T1191)로 넘어가겠습니다. 공격자는 Microsoft 연결 관리자 프로필 설치 프로그램(CMSTP.exe)을 사용하여 악성 스크립트를 실행할 수 있습니다. 좋은 예가 코발트 그룹입니다. Prefetch 파일에서 데이터를 추출하면 cmstp.exe, 그러면 정확히 무엇이 출시되었는지 다시 확인할 수 있습니다.

또 다른 인기 있는 기술은 Regsvr32(T1117)입니다. Regsvr32.exe 또한 공격자가 실행을 위해 자주 사용합니다. Cobalt 그룹의 또 다른 예는 다음과 같습니다. Prefetch 파일에서 데이터를 추출하는 경우 regsvr32.exe, 그러면 무엇이 출시되었는지 다시 살펴보겠습니다.

다음 전술은 응용 프로그램 심밍(T0003)을 기술로 사용하는 지속성(TA0004) 및 권한 상승(TA1138)입니다. 이 기술은 Carbanak/FIN7에서 시스템을 고정하는 데 사용되었습니다. 일반적으로 프로그램 호환성 데이터베이스(.sdb) 작업에 사용됩니다. sdbinst.exe. 따라서 이 실행 파일의 Prefetch 파일은 해당 데이터베이스의 이름과 위치를 찾는 데 도움이 될 수 있습니다.

그림에서 볼 수 있듯이 설치에 사용된 파일 이름뿐만 아니라 설치된 데이터베이스의 이름도 있습니다.

관리 공유(T0008)를 사용하는 네트워크 전파(TA1077)의 가장 일반적인 예 중 하나인 PsExec를 살펴보겠습니다. PSEXECSVC라는 서비스(물론 공격자가 매개변수를 사용한 경우 다른 이름을 사용할 수 있음) -r)이 대상 시스템에 생성되므로 Prefetch 파일에서 데이터를 추출하면 무엇이 실행되었는지 확인할 수 있습니다.

아마도 시작한 곳에서 끝날 것입니다 – 파일 삭제(T1107). 이미 언급했듯이 많은 공격자는 SDelete를 사용하여 공격 수명주기의 다양한 단계에서 파일을 영구적으로 삭제합니다. Prefetch 파일의 데이터를 보면 sdelete.exe, 그러면 정확히 무엇이 삭제되었는지 확인할 수 있습니다.

물론 이것이 Prefetch 파일 분석 중에 발견할 수 있는 기술의 전체 목록은 아니지만, 이러한 파일이 실행 흔적을 찾는 데 도움이 될 뿐만 아니라 특정 공격자의 전술과 기법을 재구성하는 데에도 도움이 될 수 있다는 점을 이해하는 데는 충분합니다. .

출처 : habr.com