{"id":41614,"date":"2020-02-13T20:48:26","date_gmt":"2020-02-13T17:48:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov"},"modified":"2020-02-13T20:48:26","modified_gmt":"2020-02-13T17:48:26","slug":"ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","title":{"rendered":"A ca\u00e7ar t\u00e9cnicas e t\u00e1ticas de ataque usando arquivos Prefetch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"A
\n
\nOs arquivos de rastreamento, ou arquivos Prefetch, surgiram no Windows desde a \u00e9poca do XP. Desde ent\u00e3o, eles t\u00eam ajudado especialistas em criminal\u00edstica digital e na resposta a incidentes de computador a encontrar vest\u00edgios de execu\u00e7\u00e3o de programas, incluindo os maliciosos. O principal especialista em criminal\u00edstica digital da Group-IB Oleg Skulkin<\/b> explica o que pode ser encontrado usando arquivos Prefetch e como faz\u00ea-lo.<\/a><\/noindex><\/p>\n

Os arquivos Prefetch s\u00e3o armazenados no diret\u00f3rio %SystemRoot%Prefetch<\/b> e servem para acelerar o processo de inicializa\u00e7\u00e3o de programas. Se olharmos para qualquer um desses arquivos, veremos que seu nome \u00e9 composto por duas partes: o nome do arquivo execut\u00e1vel e um checksum do caminho para ele, consistindo em oito caracteres.<\/p>\n

Os arquivos Prefetch cont\u00eam uma abund\u00e2ncia de informa\u00e7\u00f5es \u00fateis do ponto de vista forense: o nome do arquivo execut\u00e1vel, o n\u00famero de vezes que foi executado, listas de arquivos e diret\u00f3rios com os quais o arquivo execut\u00e1vel interagiu e, claro, timestamps. Normalmente, os peritos utilizam a data de cria\u00e7\u00e3o de um determinado arquivo Prefetch para determinar a data da primeira execu\u00e7\u00e3o do programa. Al\u00e9m disso, esses arquivos guardam a data da \u00faltima execu\u00e7\u00e3o, e a partir da vers\u00e3o 26 (Windows 8.1), timestamps das sete \u00faltimas execu\u00e7\u00f5es.<\/p>\n

Vamos pegar um dos arquivos Prefetch, extrair os dados dele usando o PECmd de Eric Zimmerman e olhar para cada parte. Para a demonstra\u00e7\u00e3o, extra\u00ed os dados do arquivo CCLEANER64.EXE-DE05DBE1.pf<\/b>.<\/p>\n

Ent\u00e3o, vamos come\u00e7ar pelo topo. Naturalmente, temos os timestamps de cria\u00e7\u00e3o, modifica\u00e7\u00e3o e acesso ao arquivo:<\/p>\n

\"A
\nEm seguida, temos o nome do arquivo execut\u00e1vel, o checksum do caminho, o tamanho do arquivo execut\u00e1vel e a vers\u00e3o do arquivo Prefetch:<\/p>\n

\"A
\nComo estamos lidando com o Windows 10, ent\u00e3o veremos a contagem de execu\u00e7\u00f5es, a data e hora da \u00faltima execu\u00e7\u00e3o e mais sete timestamps indicando as datas anteriores de execu\u00e7\u00e3o:<\/p>\n

\"A
\nEm seguida, seguem as informa\u00e7\u00f5es sobre a parti\u00e7\u00e3o, incluindo seu n\u00famero de s\u00e9rie e data de cria\u00e7\u00e3o:<\/p>\n

\"A
\nE por \u00faltimo, mas n\u00e3o menos importante, uma lista de diret\u00f3rios e arquivos com os quais o arquivo execut\u00e1vel interagiu: <\/p>\n

\"A
\nAssim, os diret\u00f3rios e arquivos com os quais o execut\u00e1vel interagiu s\u00e3o exatamente o que quero focar hoje. Esses dados permitem que especialistas em criminal\u00edstica digital, resposta a incidentes de computa\u00e7\u00e3o ou ca\u00e7a proativa a amea\u00e7as estabele\u00e7am n\u00e3o apenas a execu\u00e7\u00e3o de um arquivo espec\u00edfico, mas tamb\u00e9m, em alguns casos, reconstruam t\u00e1ticas e t\u00e9cnicas espec\u00edficas dos atacantes. Hoje, os criminosos cibern\u00e9ticos frequentemente utilizam ferramentas para a exclus\u00e3o permanente de dados, como o SDelete, portanto, a capacidade de recuperar pelo menos vest\u00edgios da utiliza\u00e7\u00e3o de determinadas t\u00e1ticas e t\u00e9cnicas \u00e9 simplesmente essencial para qualquer defensor moderno \u2014 seja um criminalista digital, um especialista em resposta a incidentes ou um especialista em ThreatHunter.<\/p>\n

Vamos come\u00e7ar com a t\u00e1tica de Acesso Inicial (TA0001) e a t\u00e9cnica mais popular \u2014 Anexo de Spearphishing (T1193). Alguns grupos cibercriminosos s\u00e3o bastante criativos na escolha de tais anexos. Por exemplo, o grupo Silence usou arquivos no formato CHM (Microsoft Compiled HTML Help) para isso. Dessa forma, temos mais uma t\u00e9cnica \u2014 Arquivo HTML Compilado (T1223). Esses arquivos s\u00e3o executados pelo hh.exe<\/b>, portanto, se extrairmos dados de seu arquivo Prefetch, saberemos qual arquivo espec\u00edfico foi aberto pela v\u00edtima:<\/p>\n

\"A
\nVamos continuar trabalhando com exemplos de casos reais e passar para a pr\u00f3xima t\u00e1tica de Execu\u00e7\u00e3o (TA0002) e a t\u00e9cnica CSMTP (T1191). O Instalador de Perfil do Microsoft Connection Manager (CMSTP.exe) pode ser utilizado pelos atacantes para executar scripts maliciosos. Um bom exemplo \u00e9 o grupo Cobalt. Se extrairmos dados do arquivo Prefetch cmstp.exe<\/b>, novamente poderemos descobrir o que exatamente foi executado:<\/p>\n

\"A
\nOutra t\u00e9cnica popular \u00e9 a Regsvr32 (T1117). Regsvr32.exe<\/b> tamb\u00e9m \u00e9 frequentemente utilizada por atacantes para execu\u00e7\u00e3o. Aqui est\u00e1 mais um exemplo do grupo Cobalt: se extrairmos os dados do arquivo Prefetch regsvr32.exe<\/b>, novamente veremos o que foi executado:<\/p>\n

\"A
\nAs pr\u00f3ximas t\u00e1ticas s\u00e3o Persist\u00eancia (TA0003) e Escala\u00e7\u00e3o de Privil\u00e9gios (TA0004), assim como o Application Shimming (T1138) como t\u00e9cnica. Esta t\u00e9cnica foi usada pelo Carbanak\/FIN7 para se firmar no sistema. Geralmente, para trabalhar com bancos de dados de informa\u00e7\u00f5es de compatibilidade de programas (.sdb), utiliza-se sdbinst.exe<\/b>. Portanto, o arquivo Prefetch deste execut\u00e1vel pode nos ajudar a descobrir os nomes desses bancos de dados e sua localiza\u00e7\u00e3o:<\/p>\n

\"A
\nComo pode ser visto na ilustra\u00e7\u00e3o, temos n\u00e3o apenas o nome do arquivo usado para a instala\u00e7\u00e3o, mas tamb\u00e9m o nome do banco de dados instalado.<\/p>\n

Vamos dar uma olhada em um dos exemplos mais t\u00edpicos de promo\u00e7\u00e3o na rede (TA0008) \u2014 PsExec, que utiliza recursos administrativos compartilhados (T1077). Um servi\u00e7o chamado PSEXECSVC (naturalmente, qualquer outro nome pode ser usado se os atacantes usarem o par\u00e2metro -r<\/b>) ser\u00e1 criado no sistema alvo, portanto, se extrairmos dados do arquivo Prefetch, veremos que foi iniciado:<\/p>\n

\"A
\nVou encerrar, talvez, com o que comecei \u2014 a exclus\u00e3o de arquivos (T1107). Como j\u00e1 mencionei, muitos atacantes usam SDelete para excluir permanentemente arquivos em v\u00e1rias fases do ciclo de ataque. Se analisarmos os dados do arquivo Prefetch sdelete.exe<\/b>, veremos o que foi realmente exclu\u00eddo:<\/p>\n

\"A<\/p>\n

Certamente, esta n\u00e3o \u00e9 uma lista exaustiva de t\u00e9cnicas que podem ser detectadas durante a an\u00e1lise dos arquivos Prefetch, mas deve ser suficiente para entender que esses arquivos podem ajudar n\u00e3o apenas a encontrar vest\u00edgios de execu\u00e7\u00e3o, mas tamb\u00e9m a reconstruir t\u00e1ticas e t\u00e9cnicas espec\u00edficas dos atacantes.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0424\u0430\u0439\u043b\u044b \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438, \u0438\u043b\u0438 Prefetch-\u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Windows \u0435\u0449\u0435 \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d XP. \u0421 \u0442\u0435\u0445 \u043f\u043e\u0440 \u043e\u043d\u0438 \u043f\u043e\u043c\u043e\u0433\u0430\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c \u043f\u043e \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445. \u0412\u0435\u0434\u0443\u0449\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0435 Group-IB \u041e\u043b\u0435\u0433 \u0421\u043a\u0443\u043b\u043a\u0438\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c. Prefetch-\u0444\u0430\u0439\u043b\u044b \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":41615,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-41614","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Ca\u00e7ando as t\u00e9cnicas e t\u00e1ticas dos atacantes usando arquivos Prefetch | ProHoster","description":"Arquivos.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0445\u043e\u0442\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Prefetch-\u0444\u0430\u0439\u043b\u043e\u0432 | ProHoster","og:description":"\u0424\u0430\u0439\u043b\u044b.","og:url":"https:\/\/prohoster.info\/pt\/blog\/ohotimsya-na-tehniki-i-taktiki-atakuyushhih-s-ispolzovaniem-prefetch-fajlov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-13T17:48:26+00:00","article:modified_time":"2020-02-13T17:48:26+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"41614","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:13:40","updated":"2022-09-28 14:43:35","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/41614","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=41614"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/41614\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/41615"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=41614"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=41614"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=41614"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}