Användning av PowerShell för att samla in incidentinformation

PowerShell är ett ganska vanligt automatiseringsverktyg som ofta används av både skadlig programutvecklare och informationssäkerhetsspecialister.
I denna artikel kommer vi att undersöka hur man använder PowerShell för att fjärrsamla data från slutpunkter vid reaktion på IT-incidenter. För detta krävs ett script som körs på slutpunkten och här kommer en detaljerad beskrivning av det scriptet.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Microsoft*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

För att börja arbetet skapas en funktion CSIRT, som tar ett argument – en sökväg för att spara den insamlade informationen. Eftersom de flesta cmdlets arbetar i PowerShell v5 görs en versionkontroll för korrekt funktion.

function CSIRT{
		
param($path)# vid körning av scriptet måste en katalog för lagring anges
if ($psversiontable.psversion.major -ge 5)

För enkel navigering bland de skapade filerna initieras två variabler: $date och $Computer, som får värdena för datornamn och nuvarande datum.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

Vi får en lista över de processer som körs av den aktuella användaren på följande sätt: vi skapar en variabel $process och tilldelar den cmdlet'en get-ciminstance med klassen win32_process. Genom att använda cmdlet'en Select-Object kan vi lägga till ytterligare utdata parametrar, i vårt fall kommer det att vara parentprocessid (förälderprocessens identifierare PPID), creationdate (processens skapelsedatum), processed (processens identifierare PID), processname (processens namn), commandline (startkommandot).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

För att få en lista över alla TCP- och UDP-anslutningar skapar vi variablerna $netTCP och $netUDP och tilldelar dem cmdlet'arna Get-NetTCPConnection respektive Get-NetUDPEndpoint.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

Det är också viktigt att veta listan över schemalagda uppgifter och jobb. För detta använder vi cmdlet'arna get-ScheduledTask och Get-ScheduledJob. Vi tilldelar dem variablerna $task och $job, eftersom det redan finns många schemalagda uppgifter i systemet, så för att identifiera skadlig aktivitet bör vi filtrera ut legitima schemalagda uppgifter. Detta kommer att hjälpa oss med cmdlet'en Select-Object.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname | where author -notlike '*Microsoft*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task utesluter författare som innehåller “Microsoft”, “*@%systemroot%*” samt “tomma” författare
$job = Get-ScheduledJob

I NTFS-filsystemet finns det ett begrepp som kallas alternativa datastreams (Alternate Data Streams, ADS). Det innebär att en fil i NTFS kan kopplas till flera datastreams av godtycklig storlek. Med ADS kan man dölja data som inte syns vid standardkontroller av systemet. Detta gör det möjligt att införa skadlig kod och/eller dölja data.

För att visa alternativa datastreams i PowerShell använder vi cmdlet'en get-item och det inbyggda Windows-verktyget stream med symbolen * för att visa alla möjliga strömmar, för detta skapar vi en variabel $ADS.

$ADS = get-item * -stream * | where stream -ne ':$Data' 

Det kan också vara nyttigt att veta listan över användare som är inloggade i systemet, för detta skapar vi en variabel $user och tilldelar den resultatet av kommandot quser.

$user = quser

Angripare kan göra ändringar i autostart för att befästa sig i systemet. För att visa objekt i autostart kan man använda cmdlet: Get-ItemProperty.
Vi skapar två variabler: $runUser – för att visa autostart för användaren och $runMachine – för att visa autostart för datorn.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

För att all information ska sparas i olika filer skapar vi en array med variabler och en array med filnamn.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

Och, med hjälp av en for-loop, kommer de insamlade uppgifterna att sparas i filer.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

Efter att skriptet har körts kommer 9 textfiler att skapas, som innehåller nödvändig information.

För närvarande kan cybersäkerhetsspecialister använda PowerShell för att berika informationen som behövs vid lösning av olika uppgifter i sitt arbete. Genom att lägga till skriptet i autostart kan man få viss information utan att ta dumpningar, avbilder osv.

Källa: habr.com