Skedarët e gjurmimit, ose skedarët Prefetch, u shfaqën në Windows që nga koha e XP. Që atëherë, ata kanë ndihmuar specialistët e kriminalistikës dixhitale dhe reagimit ndaj incidenteve kompjuterike të gjejnë prova të nisjes së programeve, përfshirë këtu edhe ato të dëmshme. Specialist i kryesor i kriminalistikës kompjuterike në Group-IB Oleg Skulkin shpjegon se çfarë mund të gjendet me anë të skedarëve Prefetch dhe si të bëhet kjo.
Skedarët Prefetch ruhen në katalogun %SystemRoot%Prefetch dhe shërbejnë për të ускорuar procesin e nisjes së programeve. Nëse e shohim ndonjë nga këta skedarë, do të shohim se emri i tij përbëhet nga dy pjesë: emri i skedarit ekzekutues dhe një kontrolle sumë nga rruga e tij, e cila përbëhet nga tetë simbole.
Skedarët Prefetch përmbajnë shumë informacione të dobishme nga pikëpamja e kriminalistikës: emrin e skedarit ekzekutues, numrin e nisjeve të tij, listat e skedarëve dhe katalogëve me të cilat ka ndërvepruar skedari ekzekutues, dhe, natyrisht, temporalitetet. Zakonisht, kriminalistët përdorin datën e krijimit të ndonjë skedari Prefetch për të përcaktuar datën e parë të nisjes së programit. Për më tepër, këta skedarë ruajnë datën e fundit të nisjes, dhe që nga versioni 26 (Windows 8.1) — temporalitetet e shtatë nisjeve të fundit.
Le të marrim një nga skedarët Prefetch, të nxjerrim të dhënat nga ai me ndihmën e PECmd nga Eriku Zimmerman dhe të shohim secilën pjesë të tij. Për demonstratë, do të nxjerr të dhëna nga skedari CCLEANER64.EXE-DE05DBE1.pf.
Pra, le të fillojmë nga lart. Natyrisht, kemi temporalitetet e krijimit, modifikimit dhe aksesit në skedar:
Pas tyre vjen emri i skedarit ekzekutues, kontrolle suma e rrugës së tij, madhësia e skedarit ekzekutues, si dhe versioni i skedarit Prefetch:
Duke qenë se po merremi me Windows 10, më pas do të shohim numrin e nisjeve, datën dhe orën e fundit të nisjes dhe edhe shtatë temporalitete që tregojnë datat e mëparshme të nisjeve:
Pas tyre ndodhen informacionet për volumin, duke përfshirë numrin e tij serial dhe datën e krijimit:
Dhe e fundit, por jo më pak e rëndësishme — lista e katalogëve dhe skedarëve me të cilat ka ndërvepruar skedari ekzekutues:
Pra, katalogët dhe skedarët me të cilat ka ndërvepruar skedari ekzekutues — janë ato që dëshiroj të fokusohem sot. Këto të dhëna lejojnë specialistët e kriminalistikës dixhitale, reagimit ndaj incidenteve kompjuterike ose kërkimit proaktiv të kërcënimeve të vendosin jo vetëm faktin e ekzekutimit të ndonjë skedari, por edhe, në disa raste, — të rimodelojnë taktikat dhe teknikat specifike të sulmuesve. Sot, sulmuesit përdorin mjaft shpesh mjete për fshirjen e përhershme të të dhënave, si SDelete, ndaj aftësia për të rikuperuar të paktën gjurmë të përdorimit të ndonjë taktike dhe teknike është e domosdoshme për çdo mbrojtës modern — një kriminalist kompjuterik, një specialist për reagimin ndaj incidenteve, një ekspert ThreatHunter.
Le të fillojmë me taktikën e Qasjes Fillestare (TA0001) dhe teknikën më të popullarizuar — Spearphishing Attachment (T1193). Disa grupe kibernetikë i qasen zgjedhjes së atyre anexeve mjaft krijueshëm. Për shembull, grupi Silence përdori skedarë në format CHM (Microsoft Compiled HTML Help) për këtë. Kështu, para nesh është një tjetër teknikë — Compiled HTML File (T1223). Këta skedarë nisen me ndihmën e hh.exe, prandaj, nëse nxjerrim të dhënat nga skedari i tij Prefetch, do të mësojmë se cili skedar konkret u hap nga viktima:
Do të vazhdojmë me shembuj nga raste reale dhe do të kalojmë në taktikën e ardhshme të Ekzekutimit (TA0002) dhe teknikën CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) mund të përdoret nga sulmuesit për të nisur skriptet e dëmshme. Një shembull i mirë është grupi Cobalt. Nëse ne nxjerrim të dhënat nga skedari i Prefetch-it cmstp.exe, atëherë sërish do të mund të mësojmë se çfarë u nis:
Një tjetër teknikë e njohur është Regsvr32 (T1117). Regsvr32.exe çdo herë përdoret shpesh nga sulmuesit për të nisur. Ja edhe një shembull tjetër nga grupi Cobalt: nëse ne nxjerrim të dhënat nga skedari i Prefetch-it regsvr32.exe, sërish do të shohim se çfarë u nis:
Taktikat e mëposhtme janë — Përsëritje (TA0003) dhe Eskalimi i Privilegjeve (TA0004), si dhe Application Shimming (T1138) si teknikë. Kjo teknikë u përdor nga Carbanak/FIN7 për të stabilizuar në sistem. Zakonisht, për punën me bazat e të dhënave që përmbajnë informacion rreth përputhshmërisë së programeve (.sdb) përdoret sdbinst.exe.Prandaj, skedari Prefetch i këtij skedari ekzekutues mund të na ndihmojë të zbulojmë emrat e atyre bazave të të dhënave dhe vendndodhjen e tyre:
Siç shihet në ilustrim, ne kemi jo vetëm emrin e skedarit, të përdorur për instalim, por edhe emrin e bazës së të dhënave që është instaluar.
Le të shohim një nga shembujt më tipik të promovimit në rrjet (TA0008) — PsExec, duke përdorur burime administrative të përbashkëta (T1077). Një shërbim me emrin PSEXECSVC (sigurisht, mund të përdoret çdo emër tjetër nëse sulmuesit përdorin parametrin -r) do të krijohet në sistemin e targetuar, prandaj, nëse nxjerrim të dhëna nga skedari Prefetch, do të shohim se çfarë është aktivizuar:
Besoj se do ta përfundoj me atë që fillova — fshirja e skedarëve (T1107). Siç e kam përmendur, shumë sulmues përdorin SDelete për fshirjen përfundimtare të skedarëve në faza të ndryshme të ciklit të jetës së sulmit. Nëse e shohim të dhënat nga skedari Prefetch sdelete.exe, do të shohim se çfarë është fshirë:
Natyrisht, ky nuk është një listë përfundimtare e teknikave që mund të zbulohet gjatë analizës së skedarëve Prefetch, por kjo duhet të jetë mjaft për të kuptuar se këto skedarë mund të ndihmojnë jo vetëm në gjetjen e gjurmëve të aktivizimit, por gjithashtu në rindërtimin e taktikave dhe teknikave specifike të sulmuesve.
Burimi: habr.com
