{"id":90735,"date":"2020-08-05T13:42:06","date_gmt":"2020-08-05T11:42:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust"},"modified":"2020-08-05T13:42:06","modified_gmt":"2020-08-05T11:42:06","slug":"vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vklyuchaem-sbor-sobytij-o-zapuske-podozritelnyh-proczessov-v-windows-i-vyyavlyaem-ugrozy-pri-pomoshhi-quest-intrust","title":{"rendered":"Aktivera insamling av h\u00e4ndelser f\u00f6r att uppt\u00e4cka misst\u00e4nkta processer i Windows och identifiera hot med hj\u00e4lp av Quest InTrust","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Aktivera
\n
\nEn av de vanligaste typerna av attacker \u00e4r skapandet av en skadlig process i tr\u00e4det av fullt legitima processer. En misst\u00e4nkt v\u00e4g till den k\u00f6rbara filen kan v\u00e4cka misstankar: skadlig programvara anv\u00e4nder ofta mappar som AppData eller Temp, vilket inte \u00e4r typiskt f\u00f6r legitima program. F\u00f6r r\u00e4ttvisans skull b\u00f6r n\u00e4mnas att vissa automatiska uppdateringsverktyg k\u00f6rs fr\u00e5n AppData, s\u00e5 att enbart kontrollera startplatsen \u00e4r inte tillr\u00e4ckligt f\u00f6r att p\u00e5st\u00e5 att programmet \u00e4r skadligt.<\/p>\n

En ytterligare faktor f\u00f6r legitimitet \u00e4r den kryptografiska signaturen: m\u00e5nga originalprogram \u00e4r signerade av leverant\u00f6ren. Avsaknaden av en signatur kan anv\u00e4ndas som en metod f\u00f6r att identifiera misst\u00e4nkta autostartselement. Men \u00e5nyo finns det skadlig programvara som anv\u00e4nder stulna certifikat f\u00f6r att signera sig sj\u00e4lv.<\/p>\n

Det g\u00e5r ocks\u00e5 att kontrollera v\u00e4rdena av kryptografiska hashar som MD5 eller SHA256, som kan motsvara vissa tidigare uppt\u00e4ckta skadliga program. Statisk analys kan utf\u00f6ras genom att granska signaturer i programmet (med hj\u00e4lp av Yara-regler eller antivirusprodukter). Dessutom finns det dynamisk analys (att k\u00f6ra programmet i en s\u00e4ker milj\u00f6 och \u00f6vervaka dess beteende) och reverse engineering.<\/p>\n

Det kan finnas m\u00e5nga tecken p\u00e5 en skadlig process. I den h\u00e4r artikeln kommer vi att ber\u00e4tta hur man aktiverar audit av relevanta h\u00e4ndelser i Windows och g\u00e5 igenom de tecken p\u00e5 vilka det inbyggda regeln bygger. InTrust<\/a><\/noindex> f\u00f6r att identifiera misst\u00e4nkta processer. InTrust \u00e4r en CLM-plattform<\/a><\/noindex> f\u00f6r insamling, analys och lagring av ostrukturerade data, d\u00e4r det redan finns hundratals f\u00f6rinst\u00e4llda reaktioner p\u00e5 olika typer av attacker.
\n<\/a><\/noindex>
\nN\u00e4r programmet startas, laddas det in i datorns minne. Den k\u00f6rbara filen inneh\u00e5ller datorinstruktioner och hj\u00e4lpbibliotek (till exempel *.dll). N\u00e4r processen har startat kan den skapa ytterligare tr\u00e5dar. Tr\u00e5dar g\u00f6r det m\u00f6jligt f\u00f6r processen att utf\u00f6ra olika upps\u00e4ttningar instruktioner samtidigt. Det finns m\u00e5nga s\u00e4tt f\u00f6r skadlig kod att infiltrera minnet och starta, l\u00e5t oss g\u00e5 igenom n\u00e5gra av dem.<\/p>\n

Det enklaste s\u00e4ttet att starta en skadlig process \u00e4r att f\u00e5 anv\u00e4ndaren att starta den direkt (till exempel fr\u00e5n en e-postbilaga), och sedan anv\u00e4nda RunOnce-nyckeln f\u00f6r att k\u00f6ra den vid varje omstart av datorn. Hit kan vi ocks\u00e5 r\u00e4kna skadlig programvara utan filer, som lagrar PowerShell-skript i registernycklar som k\u00f6rs baserat p\u00e5 en trigger. I detta fall fungerar PowerShell-skriptet som skadlig kod.<\/p>\n

Problemet med att explicit k\u00f6ra skadlig programvara \u00e4r att det \u00e4r en v\u00e4lk\u00e4nt metod som l\u00e4tt kan uppt\u00e4ckas. Vissa skadliga program tar till mer listiga knep, till exempel genom att anv\u00e4nda en annan process f\u00f6r att b\u00f6rja k\u00f6ras i minnet. F\u00f6ljaktligen kan processen skapa en annan process genom att k\u00f6ra en viss datorinstruktion och ange en k\u00f6rbar fil (.exe) att starta.<\/p>\n

Filen kan anges med en fullst\u00e4ndig s\u00f6kv\u00e4g (till exempel C:\\Windows\\system32\\cmd.exe) eller en ofullst\u00e4ndig (till exempel cmd.exe). Om den ursprungliga processen \u00e4r os\u00e4ker till\u00e5ter den att illegitima program startas. En attack kan se ut s\u00e5 h\u00e4r: processen startar cmd.exe utan att ange den fullst\u00e4ndiga s\u00f6kv\u00e4gen, angriparen placerar sin cmd.exe p\u00e5 ett s\u00e5dant st\u00e4lle s\u00e5 att processen startar den innan den legitima. Efter att den skadliga programvaran har startat kan den i sin tur starta ett legitimt program (till exempel C:\\Windows\\system32\\cmd.exe) f\u00f6r att den ursprungliga programmet ska forts\u00e4tta att fungera som den ska.<\/p>\n

En variation av den tidigare attacken \u00e4r DLL-injektion i en legitim process. N\u00e4r en process startas, hittar och laddar den bibliotek som ut\u00f6kar dess funktionalitet. Genom att anv\u00e4nda DLL-injektion skapar angriparen ett skadligt bibliotek med samma namn och API som det legitima. Programmet laddar det skadliga biblioteket, som i sin tur laddar det legitima, och vid behov anropar det f\u00f6r att utf\u00f6ra operationer. Det skadliga biblioteket b\u00f6rjar fungera som en proxy f\u00f6r det legitima biblioteket.<\/p>\n

Ett annat s\u00e4tt att placera skadlig kod i minnet \u00e4r att infoga den i en os\u00e4ker process som redan \u00e4r ig\u00e5ng. Processerna f\u00e5r input fr\u00e5n olika k\u00e4llor \u2014 de l\u00e4ser fr\u00e5n n\u00e4tverket eller filer. Vanligtvis utf\u00f6r de en kontroll f\u00f6r att s\u00e4kerst\u00e4lla legitimiteten av indata. Men vissa processer har inte tillr\u00e4ckligt skydd n\u00e4r de k\u00f6r instruktioner. Vid en s\u00e5dan attack finns det inget bibliotek p\u00e5 disken eller n\u00e5got exekverbart fil med skadlig kod. Allt lagras i minnet tillsammans med den utnyttjade processen.<\/p>\n

Nu ska vi g\u00e5 igenom metoden f\u00f6r att aktivera insamlingen av s\u00e5dana h\u00e4ndelser i Windows och regeln i InTrust som implementerar skydd mot dessa typer av hot. F\u00f6rst aktiverar vi det via InTrusts administrationskonsol.<\/p>\n

\"Aktivera
\n
\nRegeln anv\u00e4nder m\u00f6jligheterna f\u00f6r process\u00f6vervakning i Windows. Tyv\u00e4rr \u00e4r det inte uppenbart hur man aktiverar insamlingen av s\u00e5dana h\u00e4ndelser. Det kr\u00e4vs att \u00e4ndra tre olika inst\u00e4llningar i grupprincipen:<\/p>\n

Datorinst\u00e4llningar > Policyer > Windows-inst\u00e4llningar > S\u00e4kerhetsinst\u00e4llningar > Lokala policyer > Granskningspolicy > Granska process\u00f6vervakning<\/b><\/p>\n

\"Aktivera
\n
\nDatorinst\u00e4llningar > Policyer > Windows-inst\u00e4llningar > S\u00e4kerhetsinst\u00e4llningar > Avancerad granskningspolicykonfiguration > Granskningspolicyer > Detaljerad \u00f6vervakning > Granska processkapande<\/b><\/p>\n

\"Aktivera
\n
\nDatorinst\u00e4llningar > Policyer > Administrativa mallar > System > Granska processskapande > Inkludera kommandoraden i processkapande h\u00e4ndelser<\/b><\/p>\n

\"Aktivera
\n
\nEfter aktivering, till\u00e5ter InTrust-regler att uppt\u00e4cka tidigare ok\u00e4nda hot som visar misst\u00e4nkt beteende. Till exempel kan man identifiera som beskrivs h\u00e4r<\/a><\/noindex> skadlig programvara Dridex. Tack vare HP Bromium-projektet \u00e4r det k\u00e4nt hur ett s\u00e5dant hot fungerar.<\/p>\n

\"Aktivera
\n
\nI sin handlingskedja anv\u00e4nder Dridex schtasks.exe f\u00f6r att skapa ett schemalagt uppdrag. Anv\u00e4ndningen av just det h\u00e4r verktyget fr\u00e5n kommandoraden betraktas som ett mycket misst\u00e4nkt beteende, och detsamma g\u00e4ller f\u00f6r att k\u00f6ra svchost.exe med parametrar som pekar p\u00e5 anv\u00e4ndarmappar eller med parametrar som liknar kommandona \"net view\" eller \"whoami\". H\u00e4r \u00e4r ett utdrag av den relevanta SIGMA-regeln<\/a><\/noindex>:<\/p>\n

detection:\n    selection1:\n        CommandLine: '*svchost.exe C:Users\\*Desktop\\*'\n    selection2:\n        ParentImage: '*svchost.exe*'\n        CommandLine:\n            - '*whoami.exe \/all'\n            - '*net.exe view'\n    condition: 1 of them<\/code><\/pre>\n
\nI InTrust \u00e4r allt misst\u00e4nkt beteende inkluderat i en regel, eftersom de flesta av dessa handlingar inte \u00e4r specifika f\u00f6r en viss hotbild, utan snarare \u00e4r misst\u00e4nkta i sin helhet och i 99% av fallen anv\u00e4nds f\u00f6r mindre \u00e4rorika syften. En s\u00e5dan lista \u00f6ver handlingar inkluderar, men \u00e4r inte begr\u00e4nsad till:<\/p>\n