{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"We schakelen de verzameling van gebeurtenissen over het starten van verdachte processen in Windows in en identificeren bedreigingen met behulp van Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"We
\n
\nEen van de vaak voorkomende soorten aanvallen is het genereren van een kwaadaardig proces binnen een boom van volkomen legitieme processen. Verdachte paden naar uitvoerbare bestanden kunnen een aanwijzing zijn: vaak gebruikt malware de mappen AppData of Temp, wat ongebruikelijk is voor legitieme programma's. Eerlijkheidshalve moet worden opgemerkt dat sommige automatische updatehulpmiddelen ook in AppData worden uitgevoerd, dus alleen het controleren van de opstartlocatie is niet voldoende om te concluderen dat een programma kwaadaardig is.<\/p>\n

Een aanvullende factor voor legitimiteit is een cryptografische handtekening: veel originele programma's worden ondertekend door de leverancier. Het ontbreken van een handtekening kan worden gebruikt als een methode om verdachte opstartitems te identificeren. Maar er is ook malware die een gestolen certificaat gebruikt om zichzelf te ondertekenen.<\/p>\n

Je kunt ook de waarden van cryptografische hashes zoals MD5 of SHA256 controleren, die kunnen overeenkomen met eerder ontdekte malware. Statisch onderzoek kan worden uitgevoerd door de handtekeningen in de software te bekijken (met behulp van Yara-regels of antivirusproducten). Daarnaast is er dynamische analyse (het uitvoeren van het programma in een veilige omgeving en het volgen van de acties) en reverse engineering.<\/p>\n

Er kunnen veel tekenen zijn van een kwaadaardig proces. In dit artikel bespreken we hoe je audits van de relevante gebeurtenissen in Windows kunt inschakelen en bekijken we de signalen waarop het ingebouwde regelgevingsmechanisme is gebaseerd. InTrust<\/a><\/noindex> voor de identificatie van verdachte processen. InTrust is een CLM-platform<\/a><\/noindex> voor het verzamelen, analyseren en opslaan van ongestructureerde gegevens, met al honderden vooraf ingestelde reacties op verschillende soorten aanvallen.
\n<\/a><\/noindex>
\nBij het starten van een programma wordt het geladen in het geheugen van de computer. Het uitvoerbare bestand bevat computerinstructies en ondersteunende bibliotheken (bijvoorbeeld *.dll). Wanneer het proces eenmaal is gestart, kan het extra threads aanmaken. Threads stellen het proces in staat om verschillende sets instructies gelijktijdig uit te voeren. Er zijn veel manieren waarop kwaadaardige code in het geheugen kan binnendringen en worden uitgevoerd; laten we enkele daarvan bekijken.<\/p>\n

De eenvoudigste manier om een kwaadaardig proces te starten, is om de gebruiker dit rechtstreeks te laten doen (bijvoorbeeld vanuit een e-mailbijlage), en vervolgens met behulp van de RunOnce-sleutel het bij elke opstart van de computer te activeren. Dit omvat ook \"fileless\" malware die PowerShell-scripts opslaat in registersleutels die op basis van triggers worden uitgevoerd. In dit geval is het PowerShell-script kwaadaardige code.<\/p>\n

Het probleem met het expliciet starten van kwaadaardige software is dat dit een bekende aanpak is die gemakkelijk te detecteren is. Sommige malware is slimmer en gebruikt een ander proces om in het geheugen te draaien. Daardoor kan het proces een ander proces cre\u00ebren door een bepaalde computerinstructie uit te voeren en het uitvoerbare bestand (.exe) op te geven dat uitgevoerd moet worden.<\/p>\n

Een bestand kan worden opgegeven met behulp van het volledige pad (bijvoorbeeld C:Windowssystem32cmd.exe) of een verkort pad (bijvoorbeeld cmd.exe). Als het oorspronkelijke proces onveilig is, kan het ongeoorloofd programma's toestaan om te draaien. Een aanval kan eruitzien als volgt: het proces start cmd.exe zonder het volledige pad op te geven, en de aanvaller plaatst zijn eigen cmd.exe op zo'n manier dat het proces deze eerder uitvoert dan de legitieme versie. Na het starten van het kwaadaardige programma kan dit legitieme programma (bijvoorbeeld C:Windowssystem32cmd.exe) starten, zodat het oorspronkelijke programma normaal blijft functioneren.<\/p>\n

Een variant van de vorige aanval is DLL-injectie in een legitiem proces. Wanneer een proces wordt gestart, vindt en laadt het bibliotheken die zijn functionaliteit uitbreiden. Door DLL-injectie te gebruiken, maakt de aanvaller een kwaadaardige bibliotheek met dezelfde naam en API als de legitieme. Het programma laadt de kwaadaardige bibliotheek, die op haar beurt de legitieme laadt, en roept deze op wanneer dat nodig is voor het uitvoeren van operaties. De kwaadaardige bibliotheek functioneert als een proxy voor de goede bibliotheek.<\/p>\n

Een andere manier om malware in het geheugen te plaatsen, is door het in te voegen in een onveilige proces dat al draait. Processen ontvangen invoer uit verschillende bronnen - ze lezen uit het netwerk of uit bestanden. Gewoonlijk voeren ze een controle uit om de legitimiteit van de invoer te waarborgen. Maar sommige processen hebben niet de juiste bescherming bij het uitvoeren van instructies. Bij deze aanval bestaat er geen bibliotheek op de schijf of uitvoerbaar bestand met malware. Alles wordt in het geheugen opgeslagen, samen met het ge\u00ebxploiteerde proces.<\/p>\n

Laten we de methodologie voor het inschakelen van het verzamelen van dergelijke gebeurtenissen in Windows en de regel in InTrust die bescherming tegen dergelijke bedreigingen biedt, onderzoeken. Laten we beginnen met het inschakelen ervan via de InTrust-beheerconsole.<\/p>\n

\"We
\n
\nDe regel maakt gebruik van de mogelijkheden voor procesbewaking van besturingssysteem Windows. Helaas is het inschakelen van het verzamelen van dergelijke gebeurtenissen verre van vanzelfsprekend. Er moeten 3 verschillende groepsbeleidinstellingen worden gewijzigd:<\/p>\n

Computerconfiguratie > Beleidsinstellingen > Windows-instellingen > Beveiligingsinstellingen > Lokale beleidsinstellingen > Auditbeleid > Audit procesbewaking<\/b><\/p>\n

\"We
\n
\nComputerconfiguratie > Beleidsinstellingen > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde auditbeleidsconfiguratie > Auditbeleid > Gedetailleerde bewaking > Audit procescreatie<\/b><\/p>\n

\"We
\n
\nComputerconfiguratie > Beleidsinstellingen > Beheersjablonen > Systeem > Audit procescreatie > Inclusief opdrachten in procescreatiegebeurtenissen<\/b><\/p>\n

\"We
\n
\nNa inschakeling stellen InTrust-regels in staat om onbekende bedreigingen te detecteren die verdacht gedrag vertonen. Bijvoorbeeld, het kan onthullen deze hier beschreven<\/a><\/noindex> malware Dridex. Dankzij het HP Bromium-project is bekend hoe zo'n bedreiging is opgebouwd.<\/p>\n

\"We
\n
\nIn zijn acties gebruikt Dridex schtasks.exe om een geplande taak te cre\u00ebren. Het gebruik van deze utility vanuit de opdrachtregel wordt beschouwd als zeer verdacht gedrag, vergelijkbaar met het uitvoeren van svchost.exe met parameters die wijzen op gebruikersmappen of met parameters die lijken op de opdrachten \"net view\" of \"whoami\". Hier is een fragment van de bijbehorende SIGMA-regel<\/a><\/noindex>:<\/p>\n

detectie:\n    selectie1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selectie2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \\\/all'\n            - '*net.exe view'\n    conditie: 1 van hen<\/code><\/pre>\n
\nBij InTrust wordt al het verdachte gedrag samengevoegd in \u00e9\u00e9n regel, omdat de meeste van deze acties niet specifiek zijn voor een bepaalde bedreiging, maar eerder als verdacht worden beschouwd in het algemeen en in 99% van de gevallen voor niet zo nobele doelen worden gebruikt. Een dergelijke lijst van acties omvat, maar is niet beperkt tot:<\/p>\n