ການລ່າສັດສໍາລັບເຕັກນິກການໂຈມຕີແລະການມີສິດເທົ່າທຽມໂດຍໃຊ້ Prefetch ໄຟລ໌

Trace files, ຫຼື Prefetch files, ມີຢູ່ໃນ Windows ຕັ້ງແຕ່ XP. ຕັ້ງແຕ່ນັ້ນມາ, ພວກເຂົາເຈົ້າໄດ້ຊ່ວຍໃຫ້ນັກວິຊາການດ້ານດິຈິຕອລແລະຜູ້ຊ່ຽວຊານດ້ານການຕອບໂຕ້ເຫດການຄອມພິວເຕີຊອກຫາຮ່ອງຮອຍຂອງຊອບແວ, ລວມທັງ malware. ຜູ້ຊ່ຽວຊານຊັ້ນນໍາໃນຄອມພິວເຕີ Forensics Group-IB Oleg Skulkin ບອກທ່ານສິ່ງທີ່ທ່ານສາມາດຊອກຫາໄດ້ໂດຍໃຊ້ Prefetch files ແລະວິທີການເຮັດມັນ.

Prefetch ໄຟລ໌ຖືກເກັບໄວ້ໃນໄດເລກະທໍລີ %SystemRoot%Prefetch ແລະຮັບໃຊ້ເພື່ອເລັ່ງຂະບວນການເປີດຕົວໂຄງການ. ຖ້າພວກເຮົາເບິ່ງໄຟລ໌ເຫຼົ່ານີ້, ພວກເຮົາຈະເຫັນວ່າຊື່ຂອງມັນປະກອບດ້ວຍສອງສ່ວນ: ຊື່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ແລະ checksum ແປດຕົວອັກສອນຈາກເສັ້ນທາງໄປຫາມັນ.

ໄຟລ໌ Prefetch ມີຂໍ້ມູນຫຼາຍຢ່າງທີ່ເປັນປະໂຫຍດຈາກທັດສະນະຂອງ forensic: ຊື່ຂອງໄຟລ໌ທີ່ປະຕິບັດໄດ້, ຈໍານວນເວລາທີ່ມັນຖືກປະຕິບັດ, ບັນຊີລາຍຊື່ຂອງໄຟລ໌ແລະໄດເລກະທໍລີທີ່ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ໂຕ້ຕອບ, ແລະ, ແນ່ນອນ, timestamps. ໂດຍປົກກະຕິ, ນັກວິທະຍາສາດດ້ານນິຕິສາດໃຊ້ວັນທີສ້າງໄຟລ໌ Prefetch ໂດຍສະເພາະເພື່ອກໍານົດວັນທີທີ່ໂຄງການເປີດຕົວຄັ້ງທໍາອິດ. ນອກຈາກນັ້ນ, ໄຟລ໌ເຫຼົ່ານີ້ເກັບຮັກສາວັນທີຂອງການເປີດຕົວຄັ້ງສຸດທ້າຍຂອງມັນ, ແລະເລີ່ມຕົ້ນຈາກຮຸ່ນ 26 (Windows 8.1) - ເວລາຂອງເຈັດແລ່ນຫຼ້າສຸດ.

ໃຫ້ເອົາຫນຶ່ງໃນໄຟລ໌ Prefetch, ສະກັດຂໍ້ມູນຈາກມັນໂດຍໃຊ້ PECmd ຂອງ Eric Zimmerman ແລະເບິ່ງແຕ່ລະສ່ວນຂອງມັນ. ເພື່ອສະແດງໃຫ້ເຫັນ, ຂ້າພະເຈົ້າຈະສະກັດຂໍ້ມູນຈາກໄຟລ໌ CCLEANER64.EXE-DE05DBE1.pf.

ສະນັ້ນໃຫ້ເລີ່ມຕົ້ນຈາກດ້ານເທິງ. ແນ່ນອນ, ພວກເຮົາມີການສ້າງໄຟລ໌, ດັດແກ້, ແລະເວລາເຂົ້າເຖິງ:

ພວກມັນຖືກຕິດຕາມດ້ວຍຊື່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, checksum ຂອງເສັ້ນທາງໄປຫາມັນ, ຂະຫນາດຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, ແລະສະບັບຂອງໄຟລ໌ Prefetch:

ເນື່ອງຈາກພວກເຮົາກໍາລັງຈັດການກັບ Windows 10, ຕໍ່ໄປພວກເຮົາຈະເຫັນຈໍານວນການເລີ່ມຕົ້ນ, ວັນທີແລະເວລາຂອງການເລີ່ມຕົ້ນຄັ້ງສຸດທ້າຍ, ແລະອີກເຈັດເວລາທີ່ຊີ້ໃຫ້ເຫັນເຖິງວັນທີເປີດຕົວທີ່ຜ່ານມາ:

ເຫຼົ່ານີ້ແມ່ນຕິດຕາມດ້ວຍຂໍ້ມູນກ່ຽວກັບປະລິມານ, ລວມທັງເລກລໍາດັບແລະວັນທີສ້າງຂອງມັນ:

ສຸດທ້າຍແຕ່ບໍ່ໄດ້ຢ່າງຫນ້ອຍແມ່ນບັນຊີລາຍຊື່ຂອງໄດເລກະທໍລີແລະໄຟລ໌ທີ່ປະຕິບັດການພົວພັນກັບ:

ດັ່ງນັ້ນ, ໄດເລກະທໍລີແລະໄຟລ໌ທີ່ executable interacted ກັບແມ່ນສິ່ງທີ່ຂ້ອຍຕ້ອງການສຸມໃສ່ໃນມື້ນີ້. ມັນແມ່ນຂໍ້ມູນນີ້ທີ່ອະນຸຍາດໃຫ້ຜູ້ຊ່ຽວຊານດ້ານ forensics ດິຈິຕອລ, ການຕອບໂຕ້ເຫດການຄອມພິວເຕີ, ຫຼືການລ່າສັດໄພຂົ່ມຂູ່ຢ່າງຕັ້ງຫນ້າເພື່ອສ້າງຕັ້ງບໍ່ພຽງແຕ່ຄວາມເປັນຈິງຂອງການປະຕິບັດໄຟລ໌ສະເພາະໃດຫນຶ່ງ, ແຕ່ຍັງ, ໃນບາງກໍລະນີ, reconstruct ມີສິດເທົ່າທຽມສະເພາະແລະເຕັກນິກຂອງຜູ້ໂຈມຕີ. ໃນມື້ນີ້, ຜູ້ໂຈມຕີຂ້ອນຂ້າງມັກຈະໃຊ້ເຄື່ອງມືເພື່ອລຶບຂໍ້ມູນຢ່າງຖາວອນ, ຕົວຢ່າງ, SDelete, ດັ່ງນັ້ນຄວາມສາມາດໃນການຟື້ນຟູຢ່າງຫນ້ອຍການຕິດຕາມການນໍາໃຊ້ກົນລະຍຸດແລະເຕັກນິກບາງຢ່າງແມ່ນມີຄວາມຈໍາເປັນພຽງແຕ່ສໍາລັບຜູ້ປ້ອງກັນທີ່ທັນສະໄຫມ - ຜູ້ຊ່ຽວຊານດ້ານຄອມພິວເຕີ, ຜູ້ຊ່ຽວຊານດ້ານການຕອບໂຕ້ເຫດການ. , ຜູ້ຊ່ຽວຊານດ້ານ ThreatHunter.

ໃຫ້ເລີ່ມຕົ້ນດ້ວຍ tactic ການເຂົ້າເຖິງເບື້ອງຕົ້ນ (TA0001) ແລະເຕັກນິກທີ່ນິຍົມຫຼາຍທີ່ສຸດ, Spearphishing Attachment (T1193). ບາງກຸ່ມ cybercriminal ແມ່ນຂ້ອນຂ້າງສ້າງສັນໃນທາງເລືອກຂອງການລົງທຶນຂອງພວກເຂົາ. ຕົວຢ່າງ, ກຸ່ມ Silence ໃຊ້ໄຟລ໌ໃນຮູບແບບ CHM (Microsoft Compiled HTML Help) ສໍາລັບການນີ້. ດັ່ງນັ້ນ, ພວກເຮົາມີເຕັກນິກອື່ນກ່ອນພວກເຮົາ - ເອກະສານ HTML ທີ່ລວບລວມ (T1223). ໄຟລ໌ດັ່ງກ່າວຖືກເປີດຕົວໂດຍໃຊ້ hh.exeດັ່ງນັ້ນ, ຖ້າພວກເຮົາສະກັດຂໍ້ມູນຈາກໄຟລ໌ Prefetch ຂອງມັນ, ພວກເຮົາຈະຊອກຫາວ່າໄຟລ໌ໃດຖືກເປີດໂດຍຜູ້ຖືກເຄາະຮ້າຍ:

ໃຫ້ສືບຕໍ່ເຮັດວຽກກັບຕົວຢ່າງຈາກກໍລະນີທີ່ແທ້ຈິງແລະກ້າວໄປສູ່ກົນລະຍຸດການປະຕິບັດຕໍ່ໄປ (TA0002) ແລະເຕັກນິກ CSMTP (T1191). ຕົວຕິດຕັ້ງໂປຣໄຟລ໌ Microsoft Connection Manager (CMSTP.exe) ສາມາດໃຊ້ໂດຍຜູ້ໂຈມຕີເພື່ອແລ່ນສະຄຣິບທີ່ເປັນອັນຕະລາຍ. ຕົວຢ່າງທີ່ດີແມ່ນກຸ່ມ Cobalt. ຖ້າພວກເຮົາສະກັດຂໍ້ມູນຈາກໄຟລ໌ Prefetch cmstp.exe, ຫຼັງຈາກນັ້ນພວກເຮົາສາມາດຊອກຫາສິ່ງທີ່ແນ່ນອນໄດ້ເປີດຕົວ:

ເຕັກນິກທີ່ນິຍົມອີກອັນຫນຶ່ງແມ່ນ Regsvr32 (T1117). Regsvr32.exe ຍັງຖືກນໍາໃຊ້ໂດຍຜູ້ໂຈມຕີເພື່ອເປີດຕົວ. ນີ້ແມ່ນຕົວຢ່າງອື່ນຈາກກຸ່ມ Cobalt: ຖ້າພວກເຮົາສະກັດຂໍ້ມູນຈາກໄຟລ໌ Prefetch regsvr32.exe, ຫຼັງຈາກນັ້ນອີກເທື່ອຫນຶ່ງພວກເຮົາຈະເຫັນສິ່ງທີ່ເປີດຕົວ:

ກົນລະຍຸດຕໍ່ໄປແມ່ນ Persistence (TA0003) ແລະ Privilege Escalation (TA0004), ໂດຍມີ Application Shimming (T1138) ເປັນເຕັກນິກ. ເຕັກນິກນີ້ຖືກນໍາໃຊ້ໂດຍ Carbanak / FIN7 ເພື່ອສະມໍລະບົບ. ໂດຍປົກກະຕິແລ້ວໃຊ້ເພື່ອເຮັດວຽກກັບຖານຂໍ້ມູນຄວາມເຂົ້າກັນໄດ້ຂອງໂປຣແກຣມ (.sdb) sdbinst.exe. ດັ່ງນັ້ນ, ໄຟລ໌ Prefetch ຂອງການປະຕິບັດນີ້ສາມາດຊ່ວຍໃຫ້ພວກເຮົາຊອກຫາຊື່ຂອງຖານຂໍ້ມູນດັ່ງກ່າວແລະສະຖານທີ່ຂອງພວກເຂົາ:

ດັ່ງທີ່ເຈົ້າສາມາດເຫັນໄດ້ໃນຕົວຢ່າງ, ພວກເຮົາບໍ່ພຽງແຕ່ມີຊື່ຂອງໄຟລ໌ທີ່ໃຊ້ໃນການຕິດຕັ້ງ, ແຕ່ຍັງເປັນຊື່ຂອງຖານຂໍ້ມູນທີ່ຕິດຕັ້ງ.

ຂໍໃຫ້ພິຈາລະນາຫນຶ່ງໃນຕົວຢ່າງທົ່ວໄປທີ່ສຸດຂອງການຂະຫຍາຍພັນເຄືອຂ່າຍ (TA0008), PsExec, ການນໍາໃຊ້ຮຸ້ນບໍລິຫານ (T1077). ການບໍລິການທີ່ມີຊື່ວ່າ PSEXECSVC (ແນ່ນອນ, ຊື່ອື່ນສາມາດຖືກນໍາໃຊ້ຖ້າຜູ້ໂຈມຕີໃຊ້ພາລາມິເຕີ -r) ຈະຖືກສ້າງຂຶ້ນໃນລະບົບເປົ້າຫມາຍ, ດັ່ງນັ້ນ, ຖ້າພວກເຮົາສະກັດຂໍ້ມູນຈາກໄຟລ໌ Prefetch, ພວກເຮົາຈະເຫັນສິ່ງທີ່ຖືກເປີດຕົວ:

ຂ້ອຍອາດຈະສິ້ນສຸດບ່ອນທີ່ຂ້ອຍເລີ່ມຕົ້ນ - ການລຶບໄຟລ໌ (T1107). ດັ່ງທີ່ຂ້ອຍໄດ້ສັງເກດເຫັນແລ້ວ, ຜູ້ໂຈມຕີຫຼາຍຄົນໃຊ້ SDelete ເພື່ອລຶບໄຟລ໌ຢ່າງຖາວອນໃນຂັ້ນຕອນຕ່າງໆຂອງວົງຈອນການໂຈມຕີ. ຖ້າພວກເຮົາເບິ່ງຂໍ້ມູນຈາກໄຟລ໌ Prefetch sdelete.exe, ຫຼັງຈາກນັ້ນພວກເຮົາຈະເຫັນວ່າສິ່ງທີ່ຖືກລຶບຖິ້ມແນ່ນອນ:

ແນ່ນອນ, ນີ້ບໍ່ແມ່ນບັນຊີລາຍຊື່ຄົບຖ້ວນຂອງເຕັກນິກທີ່ສາມາດຄົ້ນພົບໄດ້ໃນລະຫວ່າງການວິເຄາະໄຟລ໌ Prefetch, ແຕ່ນີ້ຄວນຈະພຽງພໍທີ່ຈະເຂົ້າໃຈວ່າໄຟລ໌ດັ່ງກ່າວສາມາດຊ່ວຍບໍ່ພຽງແຕ່ຊອກຫາຮ່ອງຮອຍຂອງການເປີດຕົວ, ແຕ່ຍັງສ້າງກົນລະຍຸດແລະເຕັກນິກການໂຈມຕີສະເພາະ. .

ແຫຼ່ງຂໍ້ມູນ: www.habr.com