{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"W\u0142\u0105czamy zbieranie zdarze\u0144 o uruchamianiu podejrzanych proces\u00f3w w systemie Windows i identyfikujemy zagro\u017cenia za pomoc\u0105 Quest InTrust.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"W\u0142\u0105czamy
\n
\nJednym z cz\u0119sto wyst\u0119puj\u0105cych typ\u00f3w atak\u00f3w jest uruchomienie z\u0142o\u015bliwego procesu w drzewie pozornie legalnych proces\u00f3w. Podejrzenie mo\u017ce wzbudza\u0107 \u015bcie\u017cka do pliku wykonywalnego: z\u0142o\u015bliwe oprogramowanie cz\u0119sto korzysta z folder\u00f3w AppData lub Temp, co nie jest typowe dla legalnych program\u00f3w. Sprawiedliwo\u015bci jednak warto zauwa\u017cy\u0107, \u017ce niekt\u00f3re narz\u0119dzia do automatycznego aktualizowania uruchamiane s\u0105 w AppData, dlatego sama kontrola miejsca uruchomienia nie jest wystarczaj\u0105ca do stwierdzenia, \u017ce program jest z\u0142o\u015bliwy.<\/p>\n

Dodatkowym czynnikiem legitymacji jest podpis kryptograficzny: wiele oryginalnych program\u00f3w jest podpisywanych przez dostawc\u0119. Mo\u017cna wykorzysta\u0107 fakt braku podpisu jako metod\u0119 identyfikacji podejrzanych element\u00f3w autostartu. Jednak znowu istnieje z\u0142o\u015bliwe oprogramowanie, kt\u00f3re u\u017cywa skradzionego certyfikatu do podpisywania samego siebie.<\/p>\n

Mo\u017cna tak\u017ce sprawdzi\u0107 warto\u015b\u0107 kryptograficznych hashy MD5 lub SHA256, kt\u00f3re mog\u0105 odpowiada\u0107 niekt\u00f3rym wcze\u015bniej wykrytym z\u0142o\u015bliwym programom. Mo\u017cna wykona\u0107 analiz\u0119 statyczn\u0105, przegl\u0105daj\u0105c sygnatury w programie (za pomoc\u0105 regu\u0142 Yara lub produkt\u00f3w antywirusowych). Istnieje r\u00f3wnie\u017c analiza dynamiczna (uruchomienie programu w bezpiecznym \u015brodowisku i monitorowanie jego dzia\u0142ania) oraz in\u017cynieria wsteczna.<\/p>\n

Mo\u017ce by\u0107 wiele znak\u00f3w wskazuj\u0105cych na z\u0142o\u015bliwy proces. W tym artykule om\u00f3wimy, jak w\u0142\u0105czy\u0107 audyt odpowiednich zdarze\u0144 w Windows, przeanalizujemy oznaki, na kt\u00f3rych opiera si\u0119 wbudowana regu\u0142a InTrust<\/a><\/noindex> do identyfikacji podejrzanego procesu. InTrust to platforma CLM<\/a><\/noindex> do zbierania, analizy i przechowywania danych nieustrukturyzowanych, kt\u00f3ra ma ju\u017c setki predefiniowanych reakcji na r\u00f3\u017cne typy atak\u00f3w.
\n<\/a><\/noindex>
\nKiedy program jest uruchamiany, \u0142adowany jest do pami\u0119ci komputera. Plik wykonywalny zawiera instrukcje komputerowe oraz pomocnicze biblioteki (np. *.dll). Kiedy proces jest ju\u017c uruchomiony, mo\u017ce tworzy\u0107 dodatkowe w\u0105tki. W\u0105tki pozwalaj\u0105 procesowi na jednoczesne wykonywanie r\u00f3\u017cnych zestaw\u00f3w instrukcji. Istnieje wiele sposob\u00f3w na wprowadzenie z\u0142o\u015bliwego kodu do pami\u0119ci i jego uruchomienie, przyjrzyjmy si\u0119 niekt\u00f3rym z nich.<\/p>\n

Najprostszym sposobem uruchomienia z\u0142o\u015bliwego procesu jest sk\u0142onienie u\u017cytkownika do jego bezpo\u015bredniego uruchomienia (na przyk\u0142ad z za\u0142\u0105cznika e-mail), a nast\u0119pnie uruchomienie go przy ka\u017cdym w\u0142\u0105czeniu komputera za pomoc\u0105 klucza RunOnce. Mo\u017cna tu r\u00f3wnie\u017c zaliczy\u0107 z\u0142o\u015bliwe oprogramowanie \"bezplikowe\", kt\u00f3re przechowuje skrypty PowerShell w kluczach rejestru, kt\u00f3re s\u0105 wykonywane w oparciu o wyzwalacz. W tym przypadku skrypt PowerShell stanowi z\u0142o\u015bliwy kod.<\/p>\n

Problem z wyra\u017anym uruchamianiem z\u0142o\u015bliwego oprogramowania polega na tym, \u017ce jest to znany spos\u00f3b, kt\u00f3ry \u0142atwo wykry\u0107. Niekt\u00f3re z\u0142o\u015bliwe programy stosuj\u0105 sprytniejsze metody, na przyk\u0142ad wykorzystuj\u0105 inny proces, aby rozpocz\u0105\u0107 wykonanie w pami\u0119ci. W zwi\u0105zku z tym proces mo\u017ce stworzy\u0107 inny proces, uruchamiaj\u0105c okre\u015blon\u0105 instrukcj\u0119 komputerow\u0105 i wskazuj\u0105c plik wykonywalny (.exe) do uruchomienia.<\/p>\n

Plik mo\u017cna wskaza\u0107, u\u017cywaj\u0105c pe\u0142nej \u015bcie\u017cki (na przyk\u0142ad C:\\Windows\\system32\\cmd.exe) lub nietypowej (na przyk\u0142ad cmd.exe). Je\u015bli oryginalny proces jest niebezpieczny, pozwoli on na uruchamianie nielegitymizowanych program\u00f3w. Atak mo\u017ce wygl\u0105da\u0107 nast\u0119puj\u0105co: proces uruchamia cmd.exe bez podawania pe\u0142nej \u015bcie\u017cki, a agresor umieszcza swoje cmd.exe w takiej lokalizacji, \u017ce proces uruchamia go przed legalnym. Po uruchomieniu z\u0142o\u015bliwego programu mo\u017ce on z kolei uruchomi\u0107 legalny program (na przyk\u0142ad C:\\Windows\\system32\\cmd.exe), aby oryginalny program dzia\u0142a\u0142 poprawnie.<\/p>\n

Rodzaj poprzedniego ataku to wstrzykiwanie DLL do legalnego procesu. Kiedy proces jest uruchamiany, znajduje i \u0142aduje biblioteki, kt\u00f3re rozszerzaj\u0105 jego funkcjonalno\u015b\u0107. Wykorzystuj\u0105c wstrzykiwanie DLL, agresor tworzy z\u0142o\u015bliw\u0105 bibliotek\u0119 o tej samej nazwie i API, co legalna. Program \u0142aduje z\u0142o\u015bliw\u0105 bibliotek\u0119, a ona z kolei \u0142aduje legaln\u0105 i, w razie potrzeby, dla wykonania operacji, j\u0105 wywo\u0142uje. Z\u0142o\u015bliwa biblioteka zaczyna pe\u0142ni\u0107 rol\u0119 po\u015brednika dla dobrej biblioteki.<\/p>\n

Innym sposobem na umieszczenie z\u0142o\u015bliwego kodu w pami\u0119ci jest wstawienie go do niebezpiecznego procesu, kt\u00f3ry ju\u017c dzia\u0142a. Procesy otrzymuj\u0105 dane wej\u015bciowe z r\u00f3\u017cnych \u017ar\u00f3de\u0142 \u2014 czytaj\u0105 je z sieci lub plik\u00f3w. Zazwyczaj wykonuj\u0105 one weryfikacj\u0119, aby upewni\u0107 si\u0119 o legitymacji danych wej\u015bciowych. Jednak niekt\u00f3re procesy nie maj\u0105 odpowiedniej ochrony podczas wykonywania instrukcji. W takiej ataku nie ma biblioteki na dysku ani pliku wykonywalnego ze z\u0142o\u015bliwym kodem. Wszystko jest przechowywane w pami\u0119ci razem z zainfekowanym procesem.<\/p>\n

Teraz przyjrzymy si\u0119 metodzie w\u0142\u0105czenia zbierania podobnych zdarze\u0144 w systemie Windows i regule w InTrust, kt\u00f3ra realizuje ochron\u0119 przed podobnymi zagro\u017ceniami. Na pocz\u0105tek aktywujemy j\u0105 przez konsol\u0119 zarz\u0105dzania InTrust.<\/p>\n

\"W\u0142\u0105czamy
\n
\nRegu\u0142a wykorzystuje mo\u017cliwo\u015bci \u015bledzenia proces\u00f3w OS Windows. Niestety, w\u0142\u0105czenie zbierania takich zdarze\u0144 nie jest wcale oczywiste. Nale\u017cy zmieni\u0107 3 r\u00f3\u017cne ustawienia polityki grupowej:<\/p>\n

Konfiguracja komputera > Zasady > Ustawienia Windows > Ustawienia zabezpiecze\u0144 > Polityki lokalne > Polityka audytu > \u015aledzenie proces\u00f3w audytu<\/b><\/p>\n

\"W\u0142\u0105czamy
\n
\nKonfiguracja komputera > Zasady > Ustawienia Windows > Ustawienia zabezpiecze\u0144 > Zaawansowana konfiguracja polityki audytu > Polityki audytu > Szczeg\u00f3\u0142owe \u015bledzenie > Audyt tworzenia proces\u00f3w<\/b><\/p>\n

\"W\u0142\u0105czamy
\n
\nKonfiguracja komputera > Zasady > Szablony administracyjne > System > Tworzenie audytu proces\u00f3w > Do\u0142\u0105cz lini\u0119 polece\u0144 w zdarzeniach tworzenia proces\u00f3w<\/b><\/p>\n

\"W\u0142\u0105czamy
\n
\nPo w\u0142\u0105czeniu, regu\u0142y InTrust pozwalaj\u0105 na wykrywanie wcze\u015bniej nieznanych zagro\u017ce\u0144, kt\u00f3re pokazuj\u0105 podejrzane zachowanie. Na przyk\u0142ad, mo\u017cna zidentyfikowa\u0107 opisan\u0105 tutaj<\/a><\/noindex> z\u0142o\u015bliwe oprogramowanie Dridex. Dzi\u0119ki projektowi HP Bromium wiadomo, jak wygl\u0105da to zagro\u017cenie.<\/p>\n

\"W\u0142\u0105czamy
\n
\nW procesie swoich dzia\u0142a\u0144 Dridex u\u017cywa schtasks.exe do utworzenia zaplanowanego zadania. U\u017cycie tej konkretnej utilitki z linii polece\u0144 uznawane jest za bardzo podejrzane zachowanie, podobnie jak uruchomienie svchost.exe z parametrami wskazuj\u0105cymi na foldery u\u017cytkownika lub parametrami przypominaj\u0105cymi polecenia \u201enet view\u201d lub \u201ewhoami\u201d. Oto fragment odpowiadaj\u0105cego regu\u0142y SIGMA<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nW InTrust wszystkie podejrzane zachowania s\u0105 obj\u0119te jednym regu\u0142\u0105, poniewa\u017c wi\u0119kszo\u015b\u0107 tych dzia\u0142a\u0144 nie jest specyficzna dla konkretnego zagro\u017cenia, a raczej jest podejrzana w szerszym kontek\u015bcie i w 99% przypadk\u00f3w jest u\u017cywana do niezbyt szlachetnych cel\u00f3w. Taki wykaz dzia\u0142a\u0144 obejmuje, ale nie ogranicza si\u0119 do:<\/p>\n