Овозможуваме збирка настани за започнување сомнителни процеси во Windows и идентификуваме закани користејќи Quest InTrust

Еден од најчестите типови на напади е мрестење на злонамерен процес во дрво под целосно респектабилни процеси. Патот до извршната датотека може да биде сомнителен: малициозен софтвер често ги користи папките AppData или Temp, и тоа не е типично за легитимните програми. Да бидеме фер, вреди да се каже дека некои комунални услуги за автоматско ажурирање се извршуваат во AppData, така што само проверка на локацијата за лансирање не е доволно за да се потврди дека програмата е злонамерна.

Дополнителен фактор на легитимност е криптографскиот потпис: многу оригинални програми се потпишани од продавачот. Можете да го користите фактот дека нема потпис како метод за идентификување сомнителни ставки за стартување. Но, повторно има малициозен софтвер кој користи украден сертификат за да се потпише.

Можете исто така да ја проверите вредноста на криптографските хашови MD5 или SHA256, што може да одговара на некој претходно откриен малициозен софтвер. Можете да извршите статичка анализа со гледање на потписите во програмата (користејќи правила на Yara или антивирусни производи). Исто така, постои динамична анализа (водење програма во некоја безбедна средина и следење на нејзините активности) и обратно инженерство.

Може да има многу знаци на злонамерен процес. Во оваа статија ќе ви кажеме како да овозможите ревизија на релевантни настани во Windows, ќе ги анализираме знаците на кои се потпира вграденото правило InTrust да се идентификува сомнителен процес. InTrust е CLM платформа за собирање, анализа и складирање на неструктурирани податоци, кои веќе имаат стотици однапред дефинирани реакции на различни видови напади.

Кога ќе се стартува програмата, таа се вчитува во меморијата на компјутерот. Извршната датотека содржи компјутерски инструкции и библиотеки за поддршка (на пример, *.dll). Кога некој процес веќе работи, може да создаде дополнителни нишки. Нишките му овозможуваат на процесот да извршува различни групи инструкции истовремено. Постојат многу начини за злонамерниот код да навлезе во меморијата и да работи, ајде да погледнеме некои од нив.

Најлесен начин да започнете злонамерен процес е да го принудите корисникот да го стартува директно (на пример, од прилог на е-пошта), а потоа користете го копчето RunOnce за да го стартувате секогаш кога компјутерот ќе се вклучи. Ова исто така вклучува малициозен софтвер „без датотеки“ што ги складира скриптите на PowerShell во клучевите во регистарот што се извршуваат врз основа на активирач. Во овој случај, скриптата PowerShell е злонамерен код.

Проблемот со експлицитно водење на малициозен софтвер е тоа што е познат пристап кој лесно се открива. Некои малициозни програми прават попаметни работи, како на пример користење на друг процес за да започнете со извршување во меморијата. Затоа, еден процес може да создаде друг процес со извршување на одредена компјутерска инструкција и одредување на извршна датотека (.exe) за извршување.

Датотеката може да се одреди со помош на целосна патека (на пример, C:Windowssystem32cmd.exe) или делумна патека (на пример, cmd.exe). Ако оригиналниот процес е небезбеден, ќе дозволи нелегитимни програми да се извршуваат. Нападот може да изгледа вака: процесот го лансира cmd.exe без да ја наведе целосната патека, напаѓачот го става својот cmd.exe на место така што процесот го лансира пред легитимниот. Откако ќе се стартува малициозниот софтвер, тој за возврат може да стартува легитимна програма (како што е C:Windowssystem32cmd.exe), така што оригиналната програма продолжи да работи правилно.

Варијација на претходниот напад е инјектирање на DLL во легитимен процес. Кога ќе започне процесот, тој наоѓа и вчитува библиотеки кои ја прошируваат неговата функционалност. Користејќи DLL инјектирање, напаѓачот создава злонамерна библиотека со истото име и API како легитимна. Програмата вчитува злонамерна библиотека, а таа, пак, вчитува легитимна и, по потреба, ја повикува да изврши операции. Злонамерната библиотека почнува да дејствува како прокси за добрата библиотека.

Друг начин да се стави злонамерен код во меморијата е да се вметне во небезбеден процес кој веќе работи. Процесите добиваат влез од различни извори - читање од мрежата или датотеките. Тие обично вршат проверка за да се осигураат дека влезот е легитимен. Но, некои процеси немаат соодветна заштита при извршување на инструкциите. Во овој напад, нема библиотека на дискот или извршна датотека што содржи злонамерен код. Сè е зачувано во меморијата заедно со процесот што се експлоатира.

Сега да ја погледнеме методологијата за овозможување собирање на вакви настани во Windows и правилото во InTrust кое спроведува заштита од такви закани. Прво, ајде да го активираме преку конзолата за управување со InTrust.

Правилото ги користи можностите за следење на процесите на Windows OS. За жал, овозможувањето собирање на вакви настани е далеку од очигледно. Постојат 3 различни поставки за групна политика што треба да ги промените:

Компјутерска конфигурација > Политики > Поставки за Windows > Поставки за безбедност > Локални политики > Политика за ревизија > Следење на ревизорски процес

Компјутерска конфигурација > Политики > Поставки за Windows > Поставки за безбедност > Конфигурација на напредна ревизорска политика > Политики за ревизија > Детално следење > Создавање процес на ревизија

Компјутерска конфигурација > Политики > Административни шаблони > Систем > Создавање процес на ревизија > Вклучи командна линија во настани за создавање процес

Откако ќе се овозможат, правилата на InTrust ви дозволуваат да откриете претходно непознати закани кои покажуваат сомнително однесување. На пример, можете да се идентификувате опишано овде Малициозен софтвер Dridex. Благодарение на проектот HP Bromium, знаеме како функционира оваа закана.

Во својот синџир на дејства, Dridex користи schtasks.exe за да креира закажана задача. Користењето на оваа конкретна алатка од командната линија се смета за многу сомнително однесување; стартувањето svchost.exe со параметри што укажуваат на корисничките папки или со параметри слични на командите „net view“ или „whoami“ изгледа слично. Еве фрагмент од соодветните Правила на SIGMA:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

Во InTrust, секое сомнително однесување е вклучено во едно правило, бидејќи повеќето од овие дејства не се специфични за одредена закана, туку се сомнителни во комплекс и во 99% од случаите се користат за не сосема благородни цели. Оваа листа на дејства вклучува, но не е ограничена на:

• Процеси кои се извршуваат од невообичаени локации, како што се привремени папки од корисникот.
• Добро познат системски процес со сомнително наследство - некои закани може да се обидат да го користат името на системските процеси за да останат неоткриени.
• Сомнителни егзекуции на административни алатки како што се cmd или PsExec кога користат локални ингеренции на системот или сомнително наследување.
• Сомнителните операции за копирање во сенка се вообичаено однесување на вирусите за откупни софтвери пред да го шифрираат системот; тие ги убиваат резервните копии:

  — Преку vssadmin.exe;
  - Преку WMI.

• Регистрирајте депонии на цела матична кошница.
• Хоризонтално движење на малициозен код кога процес се стартува од далечина користејќи команди како што е at.exe.
• Сомнителни локални групни операции и операции на домен користејќи net.exe.
• Сомнителна активност на заштитен ѕид користејќи netsh.exe.
• Сомнителна манипулација со ACL.
• Користење на BITS за ексфилтрација на податоци.
• Сомнителни манипулации со WMI.
• Сомнителни команди за скрипта.
• Обиди за фрлање безбедни системски датотеки.

Комбинираното правило функционира многу добро за откривање закани како што се RUYK, LockerGoga и други алатки за откуп, малициозен софтвер и компјутерски криминал. Правилото е тестирано од продавачот во производни средини за да се минимизираат лажните позитиви. И благодарение на проектот SIGMA, повеќето од овие индикатори произведуваат минимален број на настани за бучава.

Бидејќи Во InTrust ова е правило за следење, можете да извршите скрипта за одговор како реакција на закана. Можете да користите една од вградените скрипти или да креирате своја и InTrust автоматски ќе ја дистрибуира.

Дополнително, можете да ја прегледате целата телеметрија поврзана со настани: скрипти на PowerShell, извршување на процеси, манипулации со закажани задачи, административна активност на WMI и да ги користите за посмртници за време на безбедносни инциденти.

InTrust има стотици други правила, некои од нив:

• Откривањето на напад за деградирање на PowerShell е кога некој намерно користи постара верзија на PowerShell бидејќи ... во постарата верзија немаше начин да се ревидира што се случува.
• Откривањето на најавување со високи привилегии е кога сметките што се членови на одредена привилегирана група (како што се администраторите на домени) се најавуваат на работните станици случајно или поради безбедносни инциденти.

InTrust ви овозможува да ги користите најдобрите безбедносни практики во форма на предефинирани правила за откривање и реакција. И ако мислите дека нешто треба да функционира поинаку, можете да направите своја копија од правилото и да ја конфигурирате по потреба. Можете да поднесете апликација за спроведување на пилот или добивање дистрибутивни комплети со привремени лиценци преку формулар за повратни информации на нашата веб-страница.

Претплатете се на нашата Фејсбук страница, таму објавуваме кратки белешки и интересни врски.

Прочитајте ги нашите други написи за безбедноста на информациите:

Како InTrust може да помогне да се намали стапката на неуспешни обиди за авторизација преку RDP

Откриваме напад на откупнина, добиваме пристап до контролорот на доменот и се обидуваме да се спротивставиме на овие напади

Кои корисни работи може да се извлечат од дневниците на работната станица базирана на Windows? (популарна статија)

Следење на животниот циклус на корисниците без клешти или селотејп

Кој го направи тоа? Ние ги автоматизираме контролите за безбедност на информациите

Како да ги намалите трошоците за сопственост на системот SIEM и зошто ви треба Централно управување со дневници (CLM)

Извор: www.habr.com