Лов за техники и тактики за напад со користење на датотеки Prefetch

Датотеките за следење, или датотеките Prefetch, постојат во Windows уште од XP. Оттогаш, тие им помагаат на специјалистите за дигитална форензика и компјутерски инциденти да најдат траги од софтвер, вклучително и малициозен софтвер. Водечки специјалист за компјутерска форензика Group-IB Олег Скулкин ви кажува што можете да најдете користејќи ги датотеките Prefetch и како да го направите тоа.

Датотеките за претходно преземање се зачувани во директориумот %SystemRoot% Prefetch и служат за забрзување на процесот на лансирање програми. Ако погледнеме некоја од овие датотеки, ќе видиме дека неговото име се состои од два дела: името на извршната датотека и контролна сума од осум знаци од патеката до неа.

Датотеките за претходно преземање содржат многу информации корисни од форензичка гледна точка: името на извршната датотека, бројот на пати кога била извршена, списоци на датотеки и директориуми со кои извршила интеракција на извршната датотека и, се разбира, временски ознаки. Вообичаено, форензичарите го користат датумот на создавање на одредена датотека Prefetch за да го одредат датумот кога програмата за првпат била лансирана. Дополнително, овие датотеки го складираат датумот на неговото последно лансирање, а почнувајќи од верзијата 26 (Windows 8.1) - временските ознаки на седумте најнови работи.

Ајде да земеме една од датотеките Prefetch, да извлечеме податоци од неа со помош на PECmd на Ерик Цимерман и да го разгледаме секој дел од него. За да покажам, ќе извлечам податоци од датотека CCLEANER64.EXE-DE05DBE1.pf.

Значи, да почнеме од врвот. Се разбира, имаме создавање на датотеки, модификација и временски ознаки за пристап:

Тие се проследени со името на извршната датотека, контролната сума на патеката до неа, големината на извршната датотека и верзијата на датотеката Prefetch:

Бидејќи се занимаваме со Windows 10, следно ќе го видиме бројот на започнувања, датумот и времето на последниот почеток и уште седум временски ознаки кои ги означуваат претходните датуми на лансирање:

По нив следуваат информации за волуменот, вклучувајќи го неговиот сериски број и датумот на создавање:

Последно, но не и најмалку важно е список на директориуми и датотеки со кои извршната датотека има интеракција:

Значи, директориумите и датотеките со кои извршила интеракција се токму она на што сакам да се фокусирам денес. Токму овие податоци им овозможуваат на специјалистите за дигитална форензика, одговор на компјутерски инциденти или проактивно лов на закани да го утврдат не само фактот за извршување на одредена датотека, туку и, во некои случаи, да реконструираат специфични тактики и техники на напаѓачите. Денес, напаѓачите доста често користат алатки за трајно бришење податоци, на пример, SDelete, така што можноста за враќање на барем траги од употребата на одредени тактики и техники е едноставно неопходна за секој модерен бранител - специјалист за компјутерска форензика, специјалист за одговор на инциденти, ThreatHunter експерт.

Да почнеме со тактиката за почетен пристап (TA0001) и најпопуларната техника, Прилог за копирање со копје (T1193). Некои сајбер криминални групи се прилично креативни во изборот на инвестиции. На пример, групата Silence користеше датотеки во формат CHM (Microsoft Compiled HTML Help) за ова. Така, пред нас имаме уште една техника - Компилирана HTML датотека (T1223). Таквите датотеки се лансираат со користење hh.exe, затоа, ако извлечеме податоци од неговата датотека Prefetch, ќе дознаеме која датотека ја отворила жртвата:

Да продолжиме да работиме со примери од реални случаи и да преминеме на следната тактика за извршување (TA0002) и CSMTP техника (T1191). Инсталаторот на профилот на Microsoft Connection Manager (CMSTP.exe) може да се користи од напаѓачите за извршување на малициозни скрипти. Добар пример е групата Кобалт. Ако извлечеме податоци од датотеката Prefetch cmstp.exe, тогаш повторно можеме да дознаеме што точно е лансирано:

Друга популарна техника е Regsvr32 (T1117). Regsvr32.exe исто така често се користи од напаѓачите за лансирање. Еве уште еден пример од групата Кобалт: ако извлечеме податоци од датотека Prefetch regsvr32.exe, потоа повторно ќе видиме што беше лансирано:

Следните тактики се Упорност (TA0003) и Ескалација на привилегии (TA0004), со Application Shimming (T1138) како техника. Оваа техника беше користена од Carbanak/FIN7 за прицврстување на системот. Обично се користи за работа со бази на податоци за компатибилност на програми (.sdb) sdbinst.exe. Затоа, датотеката Prefetch на оваа извршна датотека може да ни помогне да ги дознаеме имињата на таквите бази на податоци и нивните локации:

Како што можете да видите на илустрацијата, го имаме не само името на датотеката што се користи за инсталација, туку и името на инсталираната база на податоци.

Ајде да погледнеме во еден од најчестите примери за ширење на мрежата (TA0008), PsExec, користејќи административни акции (T1077). Услуга со име PSEXECSVC (се разбира, кое било друго име може да се користи ако напаѓачите го користеле параметарот -r) ќе се креира на целниот систем, затоа, ако ги извлечеме податоците од датотеката Prefetch, ќе видиме што е лансирано:

Веројатно ќе завршам таму каде што почнав - бришење датотеки (T1107). Како што веќе забележав, многу напаѓачи користат SDelete за трајно бришење датотеки во различни фази од животниот циклус на нападот. Ако ги погледнеме податоците од датотеката Prefetch sdelete.exe, тогаш ќе видиме што точно е избришано:

Се разбира, ова не е исцрпна листа на техники што може да се откријат при анализата на датотеките Prefetch, но ова треба да биде доволно за да се разбере дека таквите датотеки можат да помогнат не само да се најдат траги од лансирањето, туку и да се реконструираат специфични тактики и техники на напаѓачот .

Извор: www.habr.com