Richter, Geschworene und Vollstrecker

Ein Bedrohungsjagd-forensisches Tool

Funktionen:

• Durchsuchen Sie ein eingebundenes Dateisystem sofort nach Bedrohungen
• Oder erfassen Sie vor einem Vorfall eine Systembasislinie für zusätzliche Bedrohungsjagdfähigkeiten
• Kann vor, während oder nach einem Vorfall verwendet werden
• Für eine bis viele Workstations
• Scannt die MFT, umgeht Dateiberechtigungen, Dateisperren oder Betriebssystem-Dateischutz/Verstecken/Verschattung
• Bis zu 51 verschiedene Eigenschaften, die für jede Datei gesammelt werden
• Scan-Ergebnisse gehen in eine SQL-Tabelle für spätere Suche, Aggregation von Ergebnissen über viele Scans und/oder viele Maschinen und historische oder retrospektive Analyse
• Nutzen Sie die Leistungsfähigkeit von SQL, um Dateisysteme zu durchsuchen, Dateieigenschaften abzufragen, komplexe oder übergeordnete Fragen zu beantworten und nach Bedrohungen oder Kompromittierungsindikatoren zu jagen

Anforderungen:

• .NET Framework v4.8
• Microsoft Visual C++ 2015 Redistributable
• Lokale oder entfernte SQL-Datenbank mit Lese-/Schreib-/Erstellzugriff.
• Visual Studio (falls Sie den C#-Code kompilieren möchten)
• Zugang zum Internet (oder wie sonst haben Sie diesen Code bekommen??? Auch für NuGet-Pakete...)
• Grundkenntnisse in SQL

Jagen Sie nach Viren, Malware und APTs auf (mehreren) Dateisystemen, indem Sie Abfragen in SQL schreiben.

Lassen Sie mich ausführen...

Sie beginnen mit einer Festplatte oder Festplattenabbildern, die potenziell mit Malware, Viren, APTs (Advanced Persistent Threats) oder Ähnlichem verseucht sind, und scannen diese dann mit diesem Tool. (Optional, und vorausgesetzt Sie haben die Weisheit und Weitsicht, dies zu tun, können Sie zuerst (oder später – das spielt keine Rolle) ein bekannt gutes Basis-Festplattenabbild mit diesem Tool scannen. Dies ist sicherlich nicht notwendig, kann aber nur hilfreich sein.) Der forensische Scan-Teil dieses Tools sammelt eine Menge von Eigenschaften über jede Datei in einem Dateisystem (oder einem oder mehreren Abbildern davon) und legt diese Eigenschaften in einer SQL-Relationsdatenbanktabelle ab. Die Geheimzutat besteht darin, Bedrohungen zu jagen, zu untersuchen oder Fragen zu den Daten zu stellen, indem Sie Abfragen in der Sprache SQL gegen die erstellte Datenbank verwenden. Ein Hauptmerkmal war hier, KEINE proprietäre Abfragesprache zu erfinden. Wenn Sie SQL kennen und wissen, wie man auf einen Button klickt, dann wissen Sie bereits, wie Sie dieses Tool wie ein Profi verwenden. Selbst wenn nicht, ist dieses Konzept mächtig genug, dass vorgefertigte Abfragen (siehe unten) Ihnen eine Menge bringen.

Forensisches Scannen.

Zunächst erstellt das Tool einen Eintrag in der Datenbank für jeden in der MFT (Master File Table – so führt NTFS seine Aufzeichnungen) gefundenen Datensatz. Dies umgeht Dateisicherheitsberechtigungen, Dateiversteck-, Tarn- oder Verschleierungstechniken, Dateilöschung oder Zeitstempelmanipulation. Diese Techniken verhindern nicht, dass die Datei gescanned und katalogisiert wird. Die Bytes der Datei werden aus der MFT gelesen und so viele Datenpunkte wie möglich aus den aus der MFT gelesenen Bytes der Datei extrahiert, bevor versucht wird, auf Datenpunkte über die höherwertigen Betriebssystem-API-Aufrufe zuzugreifen.

Reichhaltige, hochwertige Datenanalyse.

Nachdem die MFT- und forensischen Daten gesichert sind, werden die auf Betriebssystemebene verfügbaren Eigenschaften, Daten und Metadaten über jede Datei gesammelt und ergänzen jeden aus dem MFT-Eintrag erstellten Eintrag. Dadurch wird selbst dann, wenn auf die Datei oder ihre Eigenschaften über die Betriebssystem-API oder das .NET-Framework aufgrund von Dateiberechtigungen (ACL), Dateisperren (in Verwendung), Festplattenfehlern, einer Datei mit null Byte Länge oder aus verschiedenen anderen Gründen nicht zugegriffen werden kann, die Existenz der Datei dennoch aufgezeichnet, protokolliert und verfolgt. Der Eintrag enthält jedoch einfach nicht die Informationen, die für das Betriebssystem nicht zugänglich waren. Bis zu 51 verschiedene Datenpunkte können für jede Datei gesammelt werden.

Für jede Datei gesammelte Informationen umfassen:

• SHA256-Hash
• MD5-Hash
• Importtabellen-Hash (falls vorhanden)
• MFT-Nummer & Sequenznummer
• MFT-Erstellungs-/Änderungs-/Zugriffsdaten
• Vom Betriebssystem gemeldete Erstellungs-/Änderungs-/Zugriffsdaten
• Alle 'Standard'-Betriebssystem-Dateieigenschaften: Speicherort, Größe, Zeitstempel, Attribute, Metadaten
• Ist eine PE oder DLL oder ein Treiber?
• Ist Authenticode-signiert?
• Verifiziert die X.509-Zertifikatskette?
• Benutzerdefinierte YARA-Regeln (Listet die übereinstimmenden Regelnamen auf)
• Dateientropie
• Bis zu 51 verschiedene Datenpunkte insgesamt

Beispieldatenzeile:

Vorgefertigte Abfragen:

/*
IDEA: All files in the directory C:\Windows\System32\ should be 'owned' by TrustedInstaller.
If a file in the System32 directory is owned by a different user, this indicates an anomaly, 
and that user is likely the user that created that file.
Malware likes to masquerade around as valid Windows system files.
Executables that are placed in the System32 directory not only look more official, as it is a common path for
system files, but an explicit path to that executable does not need to be supplied to execute it from the
command line, windows 'Run' dialog box of the start menu, or the win32 API call ShellExecute.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
        [FileOwner] <> 'TrustedInstaller'
    AND [DirectoryLocation] = ':\Windows\System32'
    AND IsSigned = 0
ORDER BY [PrevalenceCount] DESC


/*
IDEA: The MFT creation timestamp and the OS creation timestamp should match.
If the MFT creation timestamp occurs after the creation time reported by the OS meta-data,
this indicates an anomaly.
Timestomp is a tool that is part of the Metasploit Framework that allows a user to backdate a file
to an arbitrary time of their choosing. There really isn't a good legitimate reason for doing this
(let me know if you can think of one), and is considered an anti-forensics technique.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
	([MftTimeAccessed] <> [LastAccessTime]) OR
	([MftTimeCreation] <> [CreationTime]) OR
	([MftTimeMftModified] <> [LastWriteTime])
ORDER BY [DateSeen] DESC

/*
IDEA: The 'CompileDate' property of any executable or dll should always come before the creation timestamp for that file.
Similar logic applies as for the MFT creation timestamp occuring after the creation timestamp. How could a program have been
compiled AFTER the file that holds it was created? This anomaly indicates backdating or timestomping has occurred.
*/


SELECT 
TOP 1000 *
FROM  [FileProperties]
WHERE
	([MftTimeCreation] < [CompileDate]) OR
	([CreationTime] < [CompileDate])
ORDER BY [DateSeen] DESC