प्रीफेच फाइल्स वापरून हल्ला करण्याचे तंत्र आणि डावपेच शोधणे

XP पासून Windows मध्ये ट्रेस फाइल्स किंवा प्रीफेच फाइल्स आहेत. तेव्हापासून, त्यांनी डिजिटल फॉरेन्सिक आणि संगणक घटना प्रतिसाद तज्ञांना मालवेअरसह सॉफ्टवेअरचे ट्रेस शोधण्यात मदत केली आहे. कॉम्प्युटर फॉरेन्सिक ग्रुप-आयबी मधील अग्रगण्य तज्ञ ओलेग स्कुलकिन प्रीफेच फाइल्स वापरून तुम्ही काय शोधू शकता आणि ते कसे करावे ते तुम्हाला सांगते.

प्रीफेच फाइल्स निर्देशिकेत संग्रहित केल्या जातात %सिस्टमरूट%प्रीफेच आणि प्रोग्राम्स लाँच करण्याच्या प्रक्रियेला गती देण्यासाठी सर्व्ह करा. जर आपण यापैकी कोणतीही फाईल पाहिली तर आपल्याला दिसेल की तिच्या नावात दोन भाग आहेत: एक्झिक्युटेबल फाईलचे नाव आणि त्याच्या मार्गापासून आठ-वर्णांचा चेकसम.

प्रीफेच फाइल्समध्ये फॉरेन्सिक दृष्टिकोनातून बरीच उपयुक्त माहिती असते: एक्झिक्युटेबल फाइलचे नाव, ती किती वेळा अंमलात आणली गेली, फाइल्स आणि डिरेक्ट्रीजची सूची ज्यांच्याशी एक्झिक्युटेबल फाइलने संवाद साधला आणि अर्थातच टाइमस्टॅम्प. सामान्यतः, फॉरेन्सिक शास्त्रज्ञ विशिष्ट प्रीफेच फाइलच्या निर्मितीची तारीख वापरून प्रोग्राम प्रथम लॉन्च केला गेला होता हे निर्धारित करतात. याशिवाय, या फाइल्स त्याच्या शेवटच्या लाँचची तारीख, आणि आवृत्ती 26 (Windows 8.1) पासून सुरू करून - सात सर्वात अलीकडील रनचे टाइमस्टॅम्प संग्रहित करतात.

चला प्रीफेच फाइल्सपैकी एक घेऊ, एरिक झिमरमनच्या PECmd वापरून त्यातून डेटा काढू आणि त्यातील प्रत्येक भाग पाहू. दाखवण्यासाठी, मी फाइलमधून डेटा काढतो CCEANER64.EXE-DE05DBE1.pf.

तर वरून सुरुवात करूया. अर्थात, आमच्याकडे फाइल तयार करणे, बदल करणे आणि टाइमस्टॅम्प प्रवेश करणे आहे:

ते एक्झिक्युटेबल फाईलचे नाव, त्याकडे जाणाऱ्या मार्गाचा चेकसम, एक्झिक्युटेबल फाईलचा आकार आणि प्रीफेच फाईलची आवृत्ती यांच्यानंतर येतात:

आम्ही Windows 10 शी व्यवहार करत असल्याने, पुढे आम्ही सुरुवातीची संख्या, शेवटच्या प्रारंभाची तारीख आणि वेळ आणि मागील लॉन्च तारखा दर्शविणारे आणखी सात टाइमस्टॅम्प पाहू:

यानंतर त्याचा अनुक्रमांक आणि निर्मिती तारखेसह व्हॉल्यूमबद्दल माहिती दिली जाते:

एक्झिक्युटेबलने संवाद साधलेल्या डिरेक्‍टरीज आणि फाइल्सची यादी शेवटची पण नाही:

तर, ज्या डिरेक्‍टरीज आणि फाईल्सशी एक्झिक्यूटेबलने संवाद साधला आहे तेच मला आज लक्ष केंद्रित करायचे आहे. हा डेटा आहे जो डिजिटल फॉरेन्सिक्स, संगणक घटना प्रतिसाद किंवा सक्रिय धमकी शिकार मधील तज्ञांना केवळ विशिष्ट फाईलच्या अंमलबजावणीची वस्तुस्थिती स्थापित करण्यास परवानगी देत ​​​​नाही, परंतु काही प्रकरणांमध्ये, आक्रमणकर्त्यांच्या विशिष्ट युक्त्या आणि तंत्रांची पुनर्रचना करण्यास देखील परवानगी देतो. आज, आक्रमणकर्ते बर्‍याचदा डेटा कायमचा हटविण्यासाठी साधने वापरतात, उदाहरणार्थ, SDelete, म्हणून कोणत्याही आधुनिक बचावकर्त्यासाठी विशिष्ट युक्त्या आणि तंत्रांच्या वापराचे किमान ट्रेस पुनर्संचयित करण्याची क्षमता आवश्यक आहे - संगणक फॉरेन्सिक विशेषज्ञ, घटना प्रतिसाद विशेषज्ञ, थ्रेटहंटर तज्ञ

चला प्रारंभिक प्रवेश युक्ती (TA0001) आणि सर्वात लोकप्रिय तंत्र, Spearphishing Attachment (T1193) सह प्रारंभ करूया. काही सायबर गुन्हेगारी गट त्यांच्या गुंतवणुकीच्या निवडीमध्ये खूप सर्जनशील असतात. उदाहरणार्थ, सायलेन्स ग्रुपने यासाठी CHM (Microsoft Compiled HTML Help) फॉरमॅटमधील फाइल्स वापरल्या. अशा प्रकारे, आमच्यासमोर आणखी एक तंत्र आहे - संकलित HTML फाइल (T1223). वापरून अशा फाईल्स लाँच केल्या जातात hh.exe, म्हणून, आम्ही त्याच्या प्रीफेच फाइलमधून डेटा काढल्यास, पीडितेने कोणती फाइल उघडली होती ते आम्हाला कळेल:

चला वास्तविक प्रकरणांमधील उदाहरणांसह कार्य करणे सुरू ठेवू आणि पुढील एक्झिक्युशन युक्ती (TA0002) आणि CSMTP तंत्र (T1191) वर जाऊ. Microsoft Connection Manager Profile Installer (CMSTP.exe) हे आक्रमणकर्ते दुर्भावनापूर्ण स्क्रिप्ट चालवण्यासाठी वापरू शकतात. एक उत्तम उदाहरण म्हणजे कोबाल्ट ग्रुप. जर आपण प्रीफेच फाइलमधून डेटा काढला cmstp.exe, मग आम्ही पुन्हा शोधू शकतो की नेमके काय लॉन्च केले गेले:

आणखी एक लोकप्रिय तंत्र म्हणजे Regsvr32 (T1117). Regsvr32.exe हल्लेखोरांकडून अनेकदा प्रक्षेपण करण्यासाठी देखील वापरले जाते. कोबाल्ट गटातील आणखी एक उदाहरण येथे आहे: जर आपण प्रीफेच फाइलमधून डेटा काढला regsvr32.exe, नंतर आपण पुन्हा काय लॉन्च केले ते पाहू:

पुढील रणनीती म्हणजे पर्सिस्टन्स (TA0003) आणि प्रिव्हिलेज एस्केलेशन (TA0004), तंत्र म्हणून ऍप्लिकेशन शिमिंग (T1138) सह. हे तंत्र Carbanak/FIN7 द्वारे प्रणालीला अँकर करण्यासाठी वापरले गेले. सामान्यत: प्रोग्राम कंपॅटिबिलिटी डेटाबेस (.sdb) सह कार्य करण्यासाठी वापरले जाते sdbinst.exe. म्हणून, या एक्झिक्युटेबलची प्रीफेच फाइल आम्हाला अशा डेटाबेसची नावे आणि त्यांची ठिकाणे शोधण्यात मदत करू शकते:

जसे आपण चित्रात पाहू शकता, आमच्याकडे केवळ स्थापनेसाठी वापरल्या जाणार्‍या फाईलचे नाव नाही तर स्थापित डेटाबेसचे नाव देखील आहे.

प्रशासकीय शेअर्स (T0008) वापरून नेटवर्क प्रसार (TA1077), PsExec च्या सर्वात सामान्य उदाहरणांपैकी एक पाहू या. PSEXECSVC नावाची सेवा (अर्थातच, हल्लेखोरांनी पॅरामीटर वापरल्यास इतर कोणतेही नाव वापरले जाऊ शकते -r) लक्ष्य प्रणालीवर तयार केले जाईल, म्हणून, आम्ही प्रीफेच फाइलमधून डेटा काढल्यास, आम्ही काय लॉन्च केले ते पाहू:

मी कदाचित जिथे सुरुवात केली तिथून संपेन - फाइल्स हटवणे (T1107). मी आधीच नमूद केल्याप्रमाणे, आक्रमण जीवनचक्राच्या विविध टप्प्यांवर फायली कायमस्वरूपी हटविण्यासाठी अनेक आक्रमणकर्ते SDelete वापरतात. प्रीफेच फाइलमधील डेटा पाहिला तर sdelete.exe, मग आपण नक्की काय हटवले होते ते पाहू:

अर्थात, प्रीफेच फायलींच्या विश्लेषणादरम्यान शोधल्या जाऊ शकणार्‍या तंत्रांची ही संपूर्ण यादी नाही, परंतु हे समजून घेण्यासाठी हे पुरेसे असावे की अशा फायली केवळ प्रक्षेपणाचे ट्रेस शोधण्यातच मदत करू शकत नाहीत तर विशिष्ट हल्लेखोर युक्त्या आणि तंत्रांची पुनर्रचना देखील करू शकतात. .

स्त्रोत: www.habr.com