كاناري التطبيقات غير المثبتة

العمل السابق

يستند هذا العمل إلى هندسة الخداع حول Windows Service Canaries https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/

الأطروحة

تقوم بعض الجهات الفاعلة في التهديد بإلغاء تثبيت عدد من المنتجات قبل إسقاط المراحل اللاحقة. ننشر عدداً من تطبيقات الكناري (canary apps) التي تُفعَّل عند إلغاء تثبيتها بأسماء ذات صلة.

أساليب عمال تعدين العملات الرقمية

خلال حروب Microsoft Exchange في عام 2021، لاحظنا الأساليب التالية التي استخدمها أحد الجهات الفاعلة في التهديد

cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive

الإعداد

قم بتحرير Security.vdproj واستبدل REPLACME في

"Arguments" = "8:REPLACEME.canarytokens.com"

https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69

البناء والتثبيت

قم بالبناء
ثبّت
.. انتظر

UninstalledAppCanary