Windows nach Persistenz durchsuchen

Was ist das?

Trawler ist ein PowerShell-Skript, das Incident Respondern dabei helfen soll, potenzielle Anzeichen einer Kompromittierung auf Windows-Hosts zu entdecken. Der Fokus liegt dabei auf Persistenzmechanismen, einschließlich geplanter Aufgaben, Dienste, Registrierungsänderungen, Startobjekte, Binärdateiänderungen und mehr.

Derzeit kann Trawler die meisten Persistenstechniken erkennen, die von MITRE und Atomic Red Team speziell genannt werden, und es werden regelmäßig weitere Erkennungen hinzugefügt.

Hauptfunktionen

• Scan von Windows-Betriebssystemen auf eine Vielzahl von Persistenstechniken (siehe unten)
• CSV-Ausgabe mit MITRE-Technik und Metadaten für den Untersuchungsstart
• Dokumentation zu Analyse- und Abhilfemaßnahmen (https://github.com/joeavanzato/Trawler/wiki/Analysis-and-Remediation-Guidance)
• Dynamische Risikozuweisung für jede Erkennung
• Integrierte Zulassungslisten für gängige Windows-Konfigurationen (Windows 10/Server 2012|2016|2019|2022) zur Rauschreduzierung
• Erfassung von Persistenzmetadaten aus einem ‚goldenen‘ Unternehmensimage (Snapshot) zur Verwendung als dynamische Zulassungsliste zur Laufzeit
• Analyse von eingehängten Datenträger-Images über Laufwerk-Neuausrichtung

Wie benutze ich es?

Laden Sie einfach trawler.ps1 herunter und führen Sie es in einer administrativen PowerShell/cmd-Eingabeaufforderung aus – alle Erkennungen werden in der Konsole angezeigt und auch in einer CSV-Datei (‚detections.csv‘) im aktuellen Arbeitsverzeichnis gespeichert. Die generierte CSV enthält Erkennungsname, Quelle, Risiko, Metadaten und die relevante MITRE-Technik.

Oder verwenden Sie diesen Einzeiler in einem administrativen PowerShell-Terminal:

iex ((New-Object System.Net.WebClient).DownloadString('https://raw.githubusercontent.com/joeavanzato/Trawler/main/trawler.ps1'))

Bestimmte Erkennungen verfügen über integrierte Zulassungslisten, um Rauschen durch Standard-Windows-Konfigurationen (10/2016/2019/2022) zu reduzieren – z. B. erwartete geplante Aufgaben, Dienste usw. Natürlich ist es immer möglich, dass Angreifer diese direkt übernehmen und sich mit großer Detailtreue als Standard-OS-Prozess tarnen – seien Sie bei der Analyse und Erkennung geschickter Gegner vorsichtig und verwenden Sie mehrere Analysemethoden.

Wenn Sie Beispiele oder Ideen für zusätzliche Erkennungen haben, reichen Sie bitte ein Issue oder einen PR mit den entsprechenden technischen Details/Verweisen ein – der Code ist derzeit noch etwas unordentlich und wird mit der Zeit bereinigt.

Wenn Sie außerdem offensichtliche Fehlalarme identifizieren, lassen Sie es mich bitte wissen, indem Sie ein Issue oder PR auf GitHub eröffnen! Die offensichtlichsten Kandidaten dafür sind nicht standardmäßige COMs, Dienste oder Aufgaben.

CLI-Parameter

-scanoptions : Durch Tabulator blättern, um mögliche Erkennungen anzuzeigen, und eine Teilmenge mit kommagetrennten Begriffen auswählen (z. B. .\trawler.ps1 -scanoptions Services,Processes) oder überspringen, um alle Erkennungen durchzuführen
-quiet : Unterdrückt die Erkennungsausgabe in der Konsole
-snapshot : Pfad zu einer vorherigen Trawler-JSON-Ausgabe, die als Zulassungsliste verwendet werden soll.
-outpath : Definiert einen benutzerdefinierten Dateipfad zum Speichern der Erkennungsausgabe (Standard: "$PSScriptRoot\detections.csv")
-drivetarget : Definiert die Variable für ein eingehängtes Ziellaufwerk (z. B. .\trawler.ps1 -targetdrive "D:") – (Standard: lokales System)
-daysago : Definiert, wie viele ‚Tage zurück‘ wir für zeitbasierte Erkennungen berücksichtigen möchten (Standard: 45)
-hashmode : Definiert, welcher Hashing-Algorithmus für unterstützte Erkennungen verwendet werden soll – unterstützt sha1, md5 oder sha256 (Standard: sha1)
-evtx : Aktiviert die Erstellung einer Ereignisprotokollquelle und das Schreiben von Erkennungen in das Anwendungsereignisprotokoll unter Source=trawler mit EID=9001 (Standard: deaktiviert)

Was unterscheidet dies von PersistenceSniper?

PersistenceSniper ist ein großartiges Tool – ich habe es in der Vergangenheit intensiv genutzt – aber es gibt einige wichtige Punkte, die diese Hilfsprogramme unterscheiden:

• Trawler ist (derzeit) ein lokales Dienstprogramm – es wäre jedoch recht einfach, es in eine Schleife zu packen und über WinRM/PowerShell-Sitzungen auf entfernten Hosts auszuführen.
• Trawler implementiert Zulassungslisten für viele ‚laute‘ Erkennungen, um erwartete Erkennungen aus Standardkonfigurationen von Windows (10/2016/2019/2022) zu entfernen, und diese werden ständig aktualisiert (PS macht das auch).
• Trawlers Ausgabe ist vereinfacht – Name, Risiko, Quelle, MITRE-Technik und Metadaten sind die einzigen Elemente, die für jede Erkennung bereitgestellt werden, um Analysten einen schnellen Start in ihre Persistenzjagd zu ermöglichen – das ist ein zweischneidiges Schwert.
• Regex wird bei vielen Prüfungen verwendet, um ‚verdächtige‘ Schlüsselwörter oder Muster in verschiedenen kritischen Bereichen zu erkennen, einschließlich gescannter Dateiinhalte, Registrierungswerte usw. Dies bietet etwas mehr Flexibilität, aber auch eine potenziell höhere Fehlalarmrate.
• Trawler unterstützt ‚Laufwerk-Neuausrichtung‘, um tote Systeme zu überprüfen, die an einen Analyserechner angeschlossen sind.

Insgesamt sind diese Tools extrem ähnlich, nähern sich dem Problem jedoch aus leicht unterschiedlichen Winkeln – PersistenceSniper liefert alle Informationen an den Analysten zurück, während Trawler versucht, die zurückgegebenen Ergebnisse auf solche zu beschränken, die wahrscheinlich potenzielle Persistenzmechanismen von Angreifern sind. Daher besteht bei Trawler die Möglichkeit von Fehlalarmen, wenn ein Angreifer ein auf der Zulassungsliste stehendes Element vollständig nachahmt.

Als Beispiel: PersistenceSniper gibt alle ‚nicht sicheren‘ Windows-Dienste zurück, während Trawler nur diejenigen zurückgibt, die einer bestimmten Erkennungsregel entsprechen usw.

Anpassung an Ihre Umgebung

Trawler unterstützt das Laden einer Zulassungsliste aus einem ‚Snapshot‘ – dazu sind zwei Schritte erforderlich.

1. Führen Sie '.\trawler.ps1 -snapshot' auf einem ‚Golden Image‘ aus, das die Server in Ihrer Umgebung repräsentiert – nach Abschluss wird zusätzlich zur standardmäßigen 'detections.csv' eine Datei mit dem Namen 'snapshots.csv' erstellt.
2. Diese Datei kann dann als Eingabe für Trawler verwendet werden, wenn es auf anderen Hosts ausgeführt wird, und die Daten werden dynamisch als Zulassungsliste für jede entsprechende Erkennung geladen.
   1. '.\trawler.ps1' -loadsnapshot "path\to\snapshot.csv"

Das war's – alle relevanten Erkennungen greifen dann auf die Snapshot-Datei als Zulassungsliste zu, um Rauschen zu reduzieren und potenzielle Änderungen am Basis-Image zu identifizieren.

(Die Zulassungsliste wird für die meisten Prüfungen implementiert, aber noch nicht für alle – die Implementierung ist noch aktiv.)

Laufwerk-Neuausrichtung (Drive ReTargeting)

Während einer Untersuchung müssen Ermittler oft ein neues Laufwerk einhängen, das ein abgebildetes Windows-Gerät darstellt – Trawler unterstützt jetzt teilweise das Scannen dieser eingehängten Laufwerke durch die Verwendung des Parameters '-drivetarget'.

Zur Laufzeit setzt Trawler temporäre Skriptvariablen neu, um dateibasierte Artefakte zu überprüfen, und versucht auch, relevante Registrierungsstrukturen (HKLM\SOFTWARE, HKLM\SYSTEM, NTUSER.DATs, USRCLASS.DATs) unter HKLM/HKU mit dem Präfix 'ANALYSIS_' zu laden. Trawler versucht auch, diese temporär geladenen Strukturen nach Abschluss des Skripts wieder zu entladen.