പ്രീഫെച്ച് ഫയലുകൾ ഉപയോഗിച്ച് ആക്രമണ സാങ്കേതിക വിദ്യകളും തന്ത്രങ്ങളും വേട്ടയാടുന്നു

ട്രേസ് ഫയലുകൾ അല്ലെങ്കിൽ പ്രീഫെച്ച് ഫയലുകൾ, XP മുതൽ വിൻഡോസിൽ ഉണ്ട്. അതിനുശേഷം, ക്ഷുദ്രവെയർ ഉൾപ്പെടെയുള്ള സോഫ്‌റ്റ്‌വെയറിൻ്റെ അവശിഷ്ടങ്ങൾ കണ്ടെത്താൻ ഡിജിറ്റൽ ഫോറൻസിക്‌സിനെയും കമ്പ്യൂട്ടർ സംഭവ പ്രതികരണ വിദഗ്ധരെയും അവർ സഹായിച്ചു. കമ്പ്യൂട്ടർ ഫോറൻസിക്‌സിലെ പ്രമുഖ വിദഗ്ധൻ ഗ്രൂപ്പ്-ഐബി ഒലെഗ് സ്കൽകിൻ പ്രീഫെച്ച് ഫയലുകൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് എന്ത് കണ്ടെത്താമെന്നും അത് എങ്ങനെ ചെയ്യാമെന്നും നിങ്ങളോട് പറയുന്നു.

പ്രീഫെച്ച് ഫയലുകൾ ഡയറക്ടറിയിൽ സംഭരിച്ചിരിക്കുന്നു %SystemRoot%Prefetch പ്രോഗ്രാമുകൾ സമാരംഭിക്കുന്ന പ്രക്രിയ വേഗത്തിലാക്കാൻ സേവിക്കുക. ഈ ഫയലുകളിലേതെങ്കിലും നോക്കിയാൽ, അതിൻ്റെ പേരിൽ രണ്ട് ഭാഗങ്ങൾ അടങ്ങിയിരിക്കുന്നതായി കാണാം: എക്സിക്യൂട്ടബിൾ ഫയലിൻ്റെ പേരും അതിലേക്കുള്ള പാതയിൽ നിന്ന് എട്ട് പ്രതീകങ്ങളുള്ള ചെക്ക്സം.

പ്രീഫെച്ച് ഫയലുകളിൽ ഫോറൻസിക് വീക്ഷണകോണിൽ നിന്ന് ഉപയോഗപ്രദമായ ധാരാളം വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു: എക്സിക്യൂട്ടബിൾ ഫയലിൻ്റെ പേര്, അത് എക്സിക്യൂട്ട് ചെയ്ത തവണകളുടെ എണ്ണം, എക്സിക്യൂട്ടബിൾ ഫയൽ സംവദിച്ച ഫയലുകളുടെയും ഡയറക്ടറികളുടെയും ലിസ്റ്റുകൾ, തീർച്ചയായും ടൈംസ്റ്റാമ്പുകൾ. സാധാരണയായി, ഫോറൻസിക് ശാസ്ത്രജ്ഞർ പ്രോഗ്രാം ആദ്യം സമാരംഭിച്ച തീയതി നിർണ്ണയിക്കാൻ ഒരു പ്രത്യേക പ്രീഫെച്ച് ഫയലിൻ്റെ സൃഷ്‌ടി തീയതി ഉപയോഗിക്കുന്നു. കൂടാതെ, ഈ ഫയലുകൾ അതിൻ്റെ അവസാന ലോഞ്ച് തീയതിയും പതിപ്പ് 26 മുതൽ (Windows 8.1) ആരംഭിക്കുന്നു - ഏറ്റവും പുതിയ ഏഴ് റണ്ണുകളുടെ ടൈംസ്റ്റാമ്പുകൾ.

നമുക്ക് പ്രീഫെച്ച് ഫയലുകളിലൊന്ന് എടുക്കാം, എറിക് സിമ്മർമാൻ്റെ PECmd ഉപയോഗിച്ച് അതിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്‌ത് അതിൻ്റെ ഓരോ ഭാഗവും നോക്കാം. തെളിയിക്കാൻ, ഞാൻ ഒരു ഫയലിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യും CCLEANER64.EXE-DE05DBE1.pf.

അതിനാൽ നമുക്ക് മുകളിൽ നിന്ന് ആരംഭിക്കാം. തീർച്ചയായും, ഞങ്ങൾക്ക് ഫയൽ സൃഷ്‌ടിക്കലും പരിഷ്‌ക്കരണവും ആക്‌സസ് ടൈംസ്റ്റാമ്പുകളും ഉണ്ട്:

എക്സിക്യൂട്ടബിൾ ഫയലിൻ്റെ പേര്, അതിലേക്കുള്ള പാതയുടെ ചെക്ക്സം, എക്സിക്യൂട്ടബിൾ ഫയലിൻ്റെ വലുപ്പം, പ്രീഫെച്ച് ഫയലിൻ്റെ പതിപ്പ് എന്നിവ അവ പിന്തുടരുന്നു:

ഞങ്ങൾ Windows 10 കൈകാര്യം ചെയ്യുന്നതിനാൽ, അടുത്തതായി ആരംഭിക്കുന്നതിൻ്റെ എണ്ണം, അവസാന ആരംഭത്തിൻ്റെ തീയതിയും സമയവും കൂടാതെ മുമ്പത്തെ ലോഞ്ച് തീയതികളെ സൂചിപ്പിക്കുന്ന ഏഴ് ടൈംസ്റ്റാമ്പുകളും ഞങ്ങൾ കാണും:

സീരിയൽ നമ്പറും സൃഷ്‌ടിച്ച തീയതിയും ഉൾപ്പെടെ, വോളിയത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഇവയെ പിന്തുടരുന്നു:

എക്സിക്യൂട്ടബിൾ സംവദിച്ച ഡയറക്‌ടറികളുടെയും ഫയലുകളുടെയും ഒരു ലിസ്റ്റാണ് അവസാനത്തേത് എന്നാൽ ഏറ്റവും കുറഞ്ഞത്:

അതിനാൽ, എക്സിക്യൂട്ടബിൾ സംവദിച്ച ഡയറക്‌ടറികളും ഫയലുകളുമാണ് ഇന്ന് ഞാൻ ശ്രദ്ധ കേന്ദ്രീകരിക്കാൻ ആഗ്രഹിക്കുന്നത്. ഈ ഡാറ്റയാണ് ഡിജിറ്റൽ ഫോറൻസിക്‌സ്, കമ്പ്യൂട്ടർ സംഭവ പ്രതികരണം അല്ലെങ്കിൽ സജീവമായ ഭീഷണി വേട്ട എന്നിവയിലെ സ്പെഷ്യലിസ്റ്റുകളെ ഒരു പ്രത്യേക ഫയലിൻ്റെ നിർവ്വഹണത്തിൻ്റെ വസ്തുത സ്ഥാപിക്കാൻ മാത്രമല്ല, ചില സന്ദർഭങ്ങളിൽ, ആക്രമണകാരികളുടെ നിർദ്ദിഷ്ട തന്ത്രങ്ങളും സാങ്കേതികതകളും പുനർനിർമ്മിക്കാനും അനുവദിക്കുന്നു. ഇന്ന്, ആക്രമണകാരികൾ ഡാറ്റ ശാശ്വതമായി ഇല്ലാതാക്കാൻ ഉപകരണങ്ങൾ ഉപയോഗിക്കുന്നു, ഉദാഹരണത്തിന്, SDelete, അതിനാൽ ചില തന്ത്രങ്ങളുടെയും സാങ്കേതികതകളുടെയും ഉപയോഗത്തിൻ്റെ അടയാളങ്ങളെങ്കിലും പുനഃസ്ഥാപിക്കാനുള്ള കഴിവ് ഏതൊരു ആധുനിക പ്രതിരോധക്കാരനും ആവശ്യമാണ് - കമ്പ്യൂട്ടർ ഫോറൻസിക് സ്പെഷ്യലിസ്റ്റ്, സംഭവ പ്രതികരണ വിദഗ്ധൻ, ThreatHunter വിദഗ്ധൻ.

ഇനിഷ്യൽ ആക്‌സസ് തന്ത്രവും (TA0001) ഏറ്റവും ജനപ്രിയമായ സാങ്കേതികതയായ സ്പിയർഫിഷിംഗ് അറ്റാച്ച്‌മെൻ്റും (T1193) ഉപയോഗിച്ച് നമുക്ക് ആരംഭിക്കാം. ചില സൈബർ ക്രിമിനൽ ഗ്രൂപ്പുകൾ നിക്ഷേപങ്ങൾ തിരഞ്ഞെടുക്കുന്നതിൽ തികച്ചും ക്രിയാത്മകമാണ്. ഉദാഹരണത്തിന്, സൈലൻസ് ഗ്രൂപ്പ് ഇതിനായി CHM (Microsoft Compiled HTML Help) ഫോർമാറ്റിലുള്ള ഫയലുകൾ ഉപയോഗിച്ചു. അങ്ങനെ, നമുക്ക് മറ്റൊരു സാങ്കേതികതയുണ്ട് - കംപൈൽ ചെയ്ത HTML ഫയൽ (T1223). ഉപയോഗിച്ചാണ് ഇത്തരം ഫയലുകൾ ലോഞ്ച് ചെയ്യുന്നത് hh.exe, അതിനാൽ, അതിൻ്റെ പ്രീഫെച്ച് ഫയലിൽ നിന്ന് ഞങ്ങൾ ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുകയാണെങ്കിൽ, ഏത് ഫയലാണ് ഇര തുറന്നതെന്ന് ഞങ്ങൾ കണ്ടെത്തും:

യഥാർത്ഥ കേസുകളിൽ നിന്നുള്ള ഉദാഹരണങ്ങൾ ഉപയോഗിച്ച് നമുക്ക് തുടർന്നും പ്രവർത്തിക്കാം, അടുത്ത എക്സിക്യൂഷൻ തന്ത്രത്തിലേക്കും (TA0002) CSMTP ടെക്നിക്കിലേക്കും (T1191) പോകാം. Microsoft Connection Manager Profile Installer (CMSTP.exe) ക്ഷുദ്രകരമായ സ്ക്രിപ്റ്റുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് ആക്രമണകാരികൾക്ക് ഉപയോഗിക്കാം. ഒരു നല്ല ഉദാഹരണമാണ് കോബാൾട്ട് ഗ്രൂപ്പ്. പ്രീഫെച്ച് ഫയലിൽ നിന്ന് ഞങ്ങൾ ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുകയാണെങ്കിൽ cmstp.exe, എന്താണ് സമാരംഭിച്ചതെന്ന് നമുക്ക് വീണ്ടും കണ്ടെത്താനാകും:

മറ്റൊരു ജനപ്രിയ സാങ്കേതികത Regsvr32 (T1117) ആണ്. Regsvr32.exe ആക്രമണകാരികൾ വിക്ഷേപിക്കാൻ പലപ്പോഴും ഉപയോഗിക്കുന്നു. കോബാൾട്ട് ഗ്രൂപ്പിൽ നിന്നുള്ള മറ്റൊരു ഉദാഹരണം ഇതാ: ഞങ്ങൾ ഒരു പ്രീഫെച്ച് ഫയലിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുകയാണെങ്കിൽ regsvr32.exe, എന്താണ് സമാരംഭിച്ചതെന്ന് നമുക്ക് വീണ്ടും കാണാം:

അടുത്ത തന്ത്രങ്ങൾ പെർസിസ്റ്റൻസ് (TA0003), പ്രിവിലേജ് എസ്കലേഷൻ (TA0004), ആപ്ലിക്കേഷൻ ഷിമ്മിംഗ് (T1138) ഒരു സാങ്കേതികതയാണ്. സിസ്റ്റം നങ്കൂരമിടാൻ Carbanak/FIN7 ഈ സാങ്കേതികവിദ്യ ഉപയോഗിച്ചു. പ്രോഗ്രാം അനുയോജ്യത ഡാറ്റാബേസുകളിൽ (.sdb) പ്രവർത്തിക്കാൻ സാധാരണയായി ഉപയോഗിക്കുന്നു sdbinst.exe. അതിനാൽ, അത്തരം ഡാറ്റാബേസുകളുടെയും അവയുടെ സ്ഥാനങ്ങളുടെയും പേരുകൾ കണ്ടെത്താൻ ഈ എക്സിക്യൂട്ടബിളിൻ്റെ പ്രീഫെച്ച് ഫയൽ ഞങ്ങളെ സഹായിക്കും:

ചിത്രീകരണത്തിൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഇൻസ്റ്റാളേഷനായി ഉപയോഗിക്കുന്ന ഫയലിൻ്റെ പേര് മാത്രമല്ല, ഇൻസ്റ്റാൾ ചെയ്ത ഡാറ്റാബേസിൻ്റെ പേരും ഞങ്ങളുടെ പക്കലുണ്ട്.

അഡ്മിനിസ്ട്രേറ്റീവ് ഷെയറുകൾ (T0008) ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് പ്രചരണത്തിൻ്റെ (TA1077), PsExec ഏറ്റവും സാധാരണമായ ഉദാഹരണങ്ങളിലൊന്ന് നോക്കാം. PSEXECSVC എന്ന് പേരിട്ടിരിക്കുന്ന സേവനം (തീർച്ചയായും, ആക്രമണകാരികൾ പരാമീറ്റർ ഉപയോഗിക്കുകയാണെങ്കിൽ മറ്റേതെങ്കിലും പേര് ഉപയോഗിക്കാം -r) ടാർഗെറ്റ് സിസ്റ്റത്തിൽ സൃഷ്ടിക്കപ്പെടും, അതിനാൽ, പ്രീഫെച്ച് ഫയലിൽ നിന്ന് ഞങ്ങൾ ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുകയാണെങ്കിൽ, എന്താണ് സമാരംഭിച്ചതെന്ന് ഞങ്ങൾ കാണും:

ഞാൻ ആരംഭിച്ചിടത്ത് അവസാനിച്ചേക്കാം - ഫയലുകൾ ഇല്ലാതാക്കുന്നു (T1107). ഞാൻ ഇതിനകം സൂചിപ്പിച്ചതുപോലെ, ആക്രമണ ജീവിതചക്രത്തിൻ്റെ വിവിധ ഘട്ടങ്ങളിൽ ഫയലുകൾ ശാശ്വതമായി ഇല്ലാതാക്കാൻ പല ആക്രമണകാരികളും SDelete ഉപയോഗിക്കുന്നു. പ്രീഫെച്ച് ഫയലിൽ നിന്നുള്ള ഡാറ്റ നോക്കുകയാണെങ്കിൽ sdelete.exe, അപ്പോൾ എന്താണ് ഇല്ലാതാക്കിയതെന്ന് നമുക്ക് കാണാം:

തീർച്ചയായും, ഇത് പ്രീഫെച്ച് ഫയലുകളുടെ വിശകലന സമയത്ത് കണ്ടെത്താനാകുന്ന ടെക്നിക്കുകളുടെ ഒരു സമ്പൂർണ ലിസ്റ്റ് അല്ല, എന്നാൽ അത്തരം ഫയലുകൾ ലോഞ്ചിൻ്റെ അടയാളങ്ങൾ കണ്ടെത്താൻ മാത്രമല്ല, നിർദ്ദിഷ്ട ആക്രമണ തന്ത്രങ്ങളും സാങ്കേതികതകളും പുനർനിർമ്മിക്കാനും സഹായിക്കുമെന്ന് മനസ്സിലാക്കാൻ ഇത് മതിയാകും. .

അവലംബം: www.habr.com