{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Ativando a coleta de eventos sobre o in\u00edcio de processos suspeitos no Windows e identificando amea\u00e7as com o Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ativando
\n
\nUm dos tipos de ataque mais comuns \u00e9 a cria\u00e7\u00e3o de um processo malicioso dentro de uma \u00e1rvore de processos aparentemente benignos. Um caminho suspeito para o arquivo execut\u00e1vel pode gerar desconfian\u00e7a: frequentemente, o malware utiliza pastas AppData ou Temp, o que n\u00e3o \u00e9 t\u00edpico de programas leg\u00edtimos. Vale a pena mencionar que algumas utilidades de atualiza\u00e7\u00e3o autom\u00e1tica s\u00e3o executadas em AppData, portanto, apenas verificar o local de execu\u00e7\u00e3o n\u00e3o \u00e9 suficiente para afirmar que um programa \u00e9 malicioso.<\/p>\n

Outro fator de legitimidade \u00e9 a assinatura criptogr\u00e1fica: muitos programas originais s\u00e3o assinados pelo fornecedor. A aus\u00eancia de assinatura pode ser utilizada como um m\u00e9todo para identificar elementos suspeitos de inicializa\u00e7\u00e3o autom\u00e1tica. Mas, mais uma vez, existem malwares que usam certificados roubados para se assinar.<\/p>\n

Tamb\u00e9m \u00e9 poss\u00edvel verificar o valor dos hash criptogr\u00e1ficos MD5 ou SHA256, que podem corresponder a alguns programas maliciosos j\u00e1 detectados. \u00c9 poss\u00edvel realizar uma an\u00e1lise est\u00e1tica, examinando as assinaturas do programa (com regras Yara ou produtos antiv\u00edrus). Al\u00e9m disso, existe a an\u00e1lise din\u00e2mica (executar o programa em um ambiente seguro e monitorar seu comportamento) e a engenharia reversa.<\/p>\n

Podem haver muitos sinais de um processo malicioso. Neste artigo, iremos mostrar como habilitar a auditoria dos eventos relevantes no Windows e analisar os sinais que a regra incorporada utiliza. InTrust<\/a><\/noindex> para identificar um processo suspeito. O InTrust \u00e9 uma plataforma CLM<\/a><\/noindex> para coletar, analisar e armazenar dados n\u00e3o estruturados, que j\u00e1 possui centenas de rea\u00e7\u00f5es pr\u00e9-configuradas para diversos tipos de ataque.
\n<\/a><\/noindex>
\nAo iniciar um programa, ele \u00e9 carregado na mem\u00f3ria do computador. O arquivo execut\u00e1vel cont\u00e9m instru\u00e7\u00f5es de computador e bibliotecas auxiliares (por exemplo, *.dll). Quando o processo j\u00e1 est\u00e1 em execu\u00e7\u00e3o, ele pode criar threads adicionais. As threads permitem que o processo execute diferentes conjuntos de instru\u00e7\u00f5es simultaneamente. Existem v\u00e1rias maneiras pelas quais o c\u00f3digo malicioso pode penetrar na mem\u00f3ria e ser iniciado; vamos examinar algumas delas.<\/p>\n

A maneira mais simples de iniciar um processo malicioso \u00e9 fazer com que o usu\u00e1rio o inicie diretamente (por exemplo, a partir de um anexo de e-mail) e, em seguida, utilizar a chave RunOnce para execut\u00e1-lo a cada inicializa\u00e7\u00e3o do computador. Isso tamb\u00e9m se aplica a malwares 'sem arquivos', que armazenam scripts do PowerShell em chaves do registro, que s\u00e3o executados com base em um gatilho. Neste caso, o script do PowerShell \u00e9 o c\u00f3digo malicioso.<\/p>\n

O problema com a execu\u00e7\u00e3o expl\u00edcita de software malicioso \u00e9 que \u00e9 uma abordagem conhecida, que \u00e9 facilmente detect\u00e1vel. Alguns malwares tomam medidas mais sutis, por exemplo, usando outro processo para come\u00e7ar a ser executado na mem\u00f3ria. Consequentemente, o processo pode criar outro processo, iniciando uma instru\u00e7\u00e3o de computador espec\u00edfica e indicando um arquivo execut\u00e1vel (.exe) para ser executado.<\/p>\n

O arquivo pode ser especificado utilizando o caminho completo (por exemplo, C:Windowssystem32cmd.exe) ou um caminho parcial (por exemplo, cmd.exe). Se o processo de origem n\u00e3o for seguro, ele permitir\u00e1 a execu\u00e7\u00e3o de programas ileg\u00edtimos. Um ataque pode ocorrer da seguinte forma: o processo inicia cmd.exe sem especificar o caminho completo, e o invasor coloca seu pr\u00f3prio cmd.exe em um local onde o processo o iniciar\u00e1 antes do leg\u00edtimo. Ap\u00f3s a execu\u00e7\u00e3o do programa malicioso, ele pode, por sua vez, iniciar um programa leg\u00edtimo (por exemplo, C:Windowssystem32cmd.exe), para que o programa original continue funcionando corretamente.<\/p>\n

Uma variante do ataque anterior \u00e9 a inje\u00e7\u00e3o de DLL em um processo leg\u00edtimo. Quando um processo \u00e9 iniciado, ele encontra e carrega bibliotecas que ampliam suas funcionalidades. Usando a inje\u00e7\u00e3o de DLL, o invasor cria uma biblioteca maliciosa com o mesmo nome e API que a biblioteca leg\u00edtima. O programa carrega a biblioteca maliciosa, que, por sua vez, carrega a leg\u00edtima e, conforme necess\u00e1rio, chama-a para realizar opera\u00e7\u00f5es. A biblioteca maliciosa come\u00e7a a atuar como um proxy para a boa biblioteca.<\/p>\n

Outra forma de injetar c\u00f3digo malicioso na mem\u00f3ria \u00e9 inseri-lo em um processo inseguro que j\u00e1 est\u00e1 em execu\u00e7\u00e3o. Os processos recebem dados de v\u00e1rias fontes \u2013 lendo da rede ou de arquivos. Normalmente, eles realizam uma verifica\u00e7\u00e3o para garantir a legitimidade dos dados de entrada. Por\u00e9m, alguns processos n\u00e3o t\u00eam a devida prote\u00e7\u00e3o ao executar instru\u00e7\u00f5es. Em tal ataque, n\u00e3o h\u00e1 biblioteca no disco ou arquivo execut\u00e1vel com c\u00f3digo malicioso. Tudo \u00e9 mantido na mem\u00f3ria junto com o processo explorado.<\/p>\n

Agora, vamos entender o m\u00e9todo de ativa\u00e7\u00e3o do registro dessas ocorr\u00eancias no Windows e com a regra na InTrust, que implementa prote\u00e7\u00e3o contra essas amea\u00e7as. Para come\u00e7ar, vamos ativ\u00e1-lo atrav\u00e9s do console de gerenciamento do InTrust.<\/p>\n

\"Ativando
\n
\nA regra usa as capacidades de rastreamento de processos do sistema operacional Windows. Infelizmente, ativar o registro de tais eventos n\u00e3o \u00e9 t\u00e3o \u00f3bvio. \u00c9 necess\u00e1rio alterar 3 configura\u00e7\u00f5es diferentes da pol\u00edtica de grupo:<\/p>\n

Configura\u00e7\u00e3o do Computador > Pol\u00edticas > Configura\u00e7\u00f5es do Windows > Configura\u00e7\u00f5es de Seguran\u00e7a > Pol\u00edticas Locais > Pol\u00edtica de Auditoria > Auditoria de rastreamento de processos<\/b><\/p>\n

\"Ativando
\n
\nConfigura\u00e7\u00e3o do Computador > Pol\u00edticas > Configura\u00e7\u00f5es do Windows > Configura\u00e7\u00f5es de Seguran\u00e7a > Configura\u00e7\u00e3o Avan\u00e7ada de Pol\u00edtica de Auditoria > Pol\u00edticas de Auditoria > Rastreio Detalhado > Auditoria de cria\u00e7\u00e3o de processos<\/b><\/p>\n

\"Ativando
\n
\nConfigura\u00e7\u00e3o do Computador > Pol\u00edticas > Modelos Administrativos > Sistema > Cria\u00e7\u00e3o de Auditoria de Processos > Incluir linha de comando nos eventos de cria\u00e7\u00e3o de processos<\/b><\/p>\n

\"Ativando
\n
\nAp\u00f3s a ativa\u00e7\u00e3o, as regras do InTrust permitem detectar amea\u00e7as desconhecidas que demonstram comportamento suspeito. Por exemplo, \u00e9 poss\u00edvel identificar o que est\u00e1 descrito aqui<\/a><\/noindex> o malware Dridex. Por meio do projeto HP Bromium, sabemos como essa amea\u00e7a opera.<\/p>\n

\"Ativando
\n
\nNa sua cadeia de a\u00e7\u00f5es, o Dridex utiliza o schtasks.exe para criar uma tarefa agendada. O uso dessa utilidade a partir da linha de comando \u00e9 considerado um comportamento bastante suspeito, semelhante ao lan\u00e7amento do svchost.exe com par\u00e2metros que indicam pastas de usu\u00e1rios ou com par\u00e2metros parecidos com os comandos \u201cnet view\u201d ou \u201cwhoami\u201d. Aqui est\u00e1 um trecho da correspondente regra SIGMA<\/a><\/noindex>:<\/p>\n

detec\u00e7\u00e3o:\n    sele\u00e7\u00e3o1:\n        LinhaDeComando: '*svchost.exe C:Users\\*Desktop\\*'\n    sele\u00e7\u00e3o2:\n        ImagemPai: '*svchost.exe*'\n        LinhaDeComando:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condi\u00e7\u00e3o: 1 deles<\/code><\/pre>\n
\nNo InTrust, todo comportamento suspeito \u00e9 inclu\u00eddo em uma \u00fanica regra, porque a maioria dessas a\u00e7\u00f5es n\u00e3o \u00e9 espec\u00edfica para uma amea\u00e7a particular, mas sim \u00e9 suspeita em conjunto e em 99% dos casos \u00e9 usada para fins n\u00e3o muito nobres. Esta lista de a\u00e7\u00f5es inclui, mas n\u00e3o se limita a:<\/p>\n