Canario de aplicaciones desinstaladas

Trabajo previo

Esto se basa en el trabajo de ingeniería de engaño en torno a los canarios de servicios de Windows https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/

Tesis

Ciertos actores de amenazas desinstalan varios productos antes de desplegar las etapas posteriores. Implementamos una serie de aplicaciones canario que se activan cuando se desinstalan con nombres relevantes.

Tácticas de minero de criptomonedas

Durante las guerras de Microsoft Exchange de 2021 observamos las siguientes tácticas utilizadas por un actor de amenazas

cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive

Configuración

Edite Security.vdproj y reemplace REPLACME en

"Arguments" = "8:REPLACEME.canarytokens.com"

https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69

Compilar e instalar

Realice una compilación
Instale
.. espere

UninstalledAppCanary