🥇啟用有關 Windows 中啟動可疑進程的事件收集，並使用 Quest InTrust 識別威脅

最常見的攻擊類型之一是在完全受人尊敬的進程下的樹中產生惡意進程。可執行檔案的路徑可能很可疑：惡意軟體通常使用 AppData 或 Temp 資料夾，這對於合法程式來說並不常見。公平地說，值得一提的是，一些自動更新實用程式是在AppData中執行的，因此僅檢查啟動位置不足以確認該程式是惡意的。

合法性的另一個因素是加密簽章：許多原始程式都由供應商簽署。您可以利用沒有簽名的事實作為識別可疑啟動項目的方法。但話又說回來，有惡意軟體使用被盜的憑證來對自己進行簽署。

您也可以檢查 MD5 或 SHA256 加密雜湊值，這可能對應於一些先前偵測到的惡意軟體。您可以透過查看程式中的簽名來執行靜態分析（使用 Yara 規則或防毒產品）。還有動態分析（在某些安全環境中運行程式並監視其行為）和逆向工程。

惡意進程的跡象可能有很多。在這篇文章中我們將告訴您如何在Windows中啟用相關事件的審核，我們將分析內建規則所依賴的標誌託付識別可疑進程。信託是 CLM平台用於收集、分析和儲存非結構化數據，該數據已經有數百種針對各種類型攻擊的預定義反應。

當程式啟動時，它被載入到電腦的記憶體中。可執行檔包含電腦指令和支援庫（例如*.dll）。當進程已經運行時，它可以創建額外的執行緒。執行緒允許進程同時執行不同的指令集。惡意程式碼滲透記憶體並運行的方式有很多種，讓我們來看看其中的一些。

啟動惡意進程的最簡單方法是強制使用者直接啟動它（例如，從電子郵件附件），然後在每次開啟電腦時使用 RunOnce 鍵啟動它。這也包括「無檔案」惡意軟體，它將 PowerShell 腳本儲存在基於觸發器執行的登錄項目中。在這種情況下，PowerShell腳本是惡意程式碼。

明確運行惡意軟體的問題在於它是一種易於檢測的已知方法。有些惡意軟體會做更聰明的事情，例如使用另一個進程開始在記憶體中執行。因此，一個進程可以透過執行特定的電腦指令並指定要執行的可執行檔（.exe）來建立另一個進程。

可以使用完整路徑（例如，C:Windowssystem32cmd.exe）或部分路徑（例如，cmd.exe）指定該檔案。如果原始進程不安全，就會允許非法程式運作。攻擊可能如下所示：進程在未指定完整路徑的情況下啟動 cmd.exe，攻擊者將其 cmd.exe 放置在某個位置，以便該進程在合法進程之前啟動它。一旦惡意軟體運行，它可以反過來啟動合法程式（例如C:Windowssystem32cmd.exe），從而使原始程式繼續正常運行。

先前攻擊的變體是將 DLL 注入到合法進程中。當進程啟動時，它會尋找並載入擴展其功能的庫。使用 DLL 注入，攻擊者可以建立一個與合法程式庫具有相同名稱和 API 的惡意程式庫。該程式載入一個惡意庫，然後載入一個合法庫，並根據需要呼叫它來執行操作。惡意函式庫開始充當好函式庫的代理。

將惡意程式碼放入記憶體的另一種方法是將其插入到已經運行的不安全進程中。進程從各種來源接收輸入 - 從網路或檔案讀取。他們通常會執行檢查以確保輸入合法。但有些程序在執行指令時沒有適當的保護。在此攻擊中，磁碟上不存在包含惡意程式碼的程式庫或可執行檔。一切都與被利用的進程一起儲存在記憶體中。

現在讓我們看看在 Windows 中啟用此類事件收集的方法以及 InTrust 中實作針對此類威脅的保護的規則。首先，我們透過 InTrust 管理控制台啟動它。

此規則使用 Windows 作業系統的進程追蹤功能。不幸的是，實現此類事件的收集還遠非顯而易見。您需要變更 3 種不同的群組原則設定：

電腦設定 > 策略 > Windows 設定 > 安全性設定 > 本機策略 > 審核策略 > 審核進程追蹤

電腦設定 > 策略 > Windows 設定 > 安全性設定 > 進階審核策略設定 > 審核策略 > 詳細追蹤 > 審核程序創建

電腦設定 > 策略 > 管理範本 > 系統 > 審核程序建立 > 在行程建立事件中包含命令列

啟用後，InTrust 規則可讓您偵測表現出可疑行為的先前未知的威脅。例如，您可以識別此處描述 Dridex 惡意軟體。感謝 HP Bromium 項目，我們知道這種威脅是如何運作的。

在其操作鏈中，Dridex 使用 schtasks.exe 建立排程任務。從命令列使用此特定實用程式被認為是非常可疑的行為；使用指向使用者資料夾的參數或使用類似於“net view”或“whoami”命令的參數啟動 svchost.exe 看起來很相似。這是對應的片段西格瑪規則:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

在 InTrust 中，所有可疑行為都包含在一條規則中，因為大多數這些行為並非特定於特定威脅，而是複雜的可疑行為，並且 99% 的情況都用於不完全崇高的目的。該行動清單包括但不限於：