Dragage de Windows pour la persistance

Qu'est-ce que c'est ?

Trawler est un script PowerShell conçu pour aider les intervenants en réponse aux incidents à découvrir des indicateurs potentiels de compromission sur les hôtes Windows, principalement axé sur les mécanismes de persistance, notamment les tâches planifiées, les services, les modifications du registre, les éléments de démarrage, les modifications de binaires, etc.

Actuellement, trawler peut détecter la plupart des techniques de persistance spécifiquement mentionnées par MITRE et Atomic Red Team, avec des détections ajoutées régulièrement.

Principales fonctionnalités

• Analyse du système d'exploitation Windows pour une variété de techniques de persistance (listées ci-dessous)
• Sortie CSV avec métadonnées de technique MITRE et de démarrage d'investigation
• Documentation de guidance d'analyse et de correction (https://github.com/joeavanzato/Trawler/wiki/Analysis-and-Remediation-Guidance)
• Attribution de risque dynamique pour chaque détection
• Listes d'autorisation intégrées pour les configurations Windows courantes couvrant Windows 10/Server 2012|2016|2019|2022 pour réduire le bruit
• Capture des métadonnées de persistance depuis une image d'entreprise 'dorée' (instantané) pour une utilisation comme liste d'autorisation dynamique à l'exécution
• Analyse des images de disque montées via le réacheminement de lecteur

Comment l'utiliser ?

Téléchargez et exécutez simplement trawler.ps1 depuis une invite PowerShell/CMD Administrative - toutes les détections seront affichées dans la console et écrites dans un CSV ('detections.csv') dans le répertoire de travail actuel. Le CSV généré contiendra le nom de la détection, la source, le risque, les métadonnées et la technique MITRE correspondante.

Ou utilisez cette ligne unique depuis un terminal PowerShell Administrateur :

iex ((New-Object System.Net.WebClient).DownloadString('https://raw.githubusercontent.com/joeavanzato/Trawler/main/trawler.ps1'))

Certaines détections disposent de listes d'autorisation intégrées pour aider à éliminer le bruit des configurations Windows par défaut (10/2016/2019/2022) - tâches planifiées attendues, services, etc. Bien sûr, il est toujours possible pour les attaquants de détourner directement ces éléments et de se faire passer avec beaucoup de détails pour un processus OS par défaut - prenez soin d'utiliser plusieurs formes d'analyse et de détection face à des adversaires compétents.

Si vous avez des exemples ou des idées pour des détections supplémentaires, n'hésitez pas à soumettre un Issue ou un PR avec les détails techniques/références pertinents - la base de code est un peu désordonnée pour le moment et sera nettoyée au fil du temps.

De plus, si vous identifiez des faux positifs évidents, veuillez me le signaler en ouvrant un issue ou un PR sur GitHub ! Les coupables évidents seront les COM, Services ou Tâches non standard.

Paramètres CLI

-scanoptions : Parcourir les détections possibles et sélectionner un sous-ensemble à l'aide de termes séparés par des virgules (ex. .\trawler.ps1 -scanoptions Services,Processes) ou passer pour effectuer toutes les détections
-quiet : Supprimer la sortie des détections dans la console
-snapshot : Chemin vers une sortie JSON précédente de trawler à utiliser comme liste d'autorisation.
-outpath : Définir un chemin de fichier personnalisé pour enregistrer la sortie des détections (par défaut "$PSScriptRoot\detections.csv")
-drivetarget : Définir la variable pour un lecteur cible monté (ex. .\trawler.ps1 -targetdrive "D:") - (par défaut système local)
-daysago : Définir combien de 'jours en arrière' nous voulons prendre en compte pour les détections basées sur le temps (par défaut 45)
-hashmode : Définir l'algorithme de hachage que nous voulons utiliser pour les détections prises en charge - prend en charge sha1, md5 ou sha256 (par défaut sha1)
-evtx : Activer la création d'une source de journal des événements et l'écriture des détections dans le journal des événements d'application sous Source=trawler avec EID=9001 (par défaut désactivé)

Qu'est-ce qui différencie cela de PersistenceSniper ?

PersistenceSniper est un outil génial - je l'ai beaucoup utilisé par le passé - mais il y a quelques points clés qui différencient ces utilitaires

• trawler est (actuellement) un utilitaire local - il serait assez simple de l'envelopper dans une boucle et d'utiliser WinRM/Sessions PowerShell pour l'exécuter sur des hôtes distants cependant
• trawler implémente des listes d'autorisation pour de nombreuses détections 'bruyantes' afin d'aider à supprimer les détections attendues des configurations par défaut de Windows (10/2016/2019/2022) et celles-ci sont constamment mises à jour (PS fait aussi cela)
  • PersistenceSniper (pour la plupart) ne contient aucun type de liste d'autorisation - par conséquent, il y a plus de bruit généré lorsqu'on considère des éléments tels que les Services, les Tâches planifiées, l'analyse générale des DLL COM, etc.
• la sortie de trawler est simplifiée - Nom, Risque, Source, Technique MITRE et Métadonnées sont les seuls éléments fournis pour chaque détection afin d'aider les analystes à démarrer leurs efforts de recherche de persistance - c'est une arme à double tranchant.
• L'expression régulière est utilisée dans de nombreux contrôles pour aider à détecter des mots-clés ou des motifs 'suspects' dans divers domaines critiques, y compris le contenu des fichiers scannés, les valeurs du registre, etc. Cela offre un peu plus de flexibilité mais aussi un taux de faux positifs potentiellement plus élevé.
• trawler prend en charge le 'réacheminement de lecteur' pour vérifier les boîtes mortes montées sur une machine d'analyse.

Dans l'ensemble, ces outils sont extrêmement similaires mais abordent le problème sous des angles légèrement différents - PersistenceSniper renvoie toutes les informations à l'analyste pour examen tandis que Trawler essaie de limiter ce qui est renvoyé aux seuls résultats susceptibles d'être des mécanismes de persistance adverses potentiels. En conséquence, il est possible d'avoir des faux négatifs avec trawler si un adversaire imite complètement un élément de la liste d'autorisation.

À titre d'exemple - PersistenceSniper renverra tous les services Windows 'non sûrs' tandis que trawler ne renverra que ceux qui correspondent à une règle de détection spécifique, etc.

Ajustement à votre environnement

Trawler prend en charge le chargement d'une liste d'autorisation à partir d'un 'instantané' - pour ce faire, deux étapes sont nécessaires.

1. Exécutez '.\trawler.ps1 -snapshot' sur une "Image Dorée" représentant les serveurs de votre environnement - une fois terminé, en plus du 'detections.csv' standard, un fichier nommé 'snapshots.csv' sera généré
2. Ce fichier peut ensuite être utilisé comme entrée pour trawler lors de l'exécution sur d'autres hôtes et les données seront chargées dynamiquement comme liste d'autorisation pour chaque détection appropriée
   1. '.\trawler.ps1' -loadsnapshot "chemin\vers\snapshot.csv"

C'est tout - toutes les détections pertinentes puiseront alors dans le fichier d'instantané comme liste d'autorisation pour réduire le bruit et identifier tout changement potentiel à l'image de base qui aurait pu se produire.

(La mise en place de listes d'autorisation est implémentée pour la plupart des vérifications mais pas toutes - toujours en cours d'implémentation active)

Réacheminement de lecteur

Souvent lors d'une enquête, les analystes peuvent monter un nouveau lecteur qui représente un périphérique Windows imagé - Trawler prend désormais partiellement en charge l'analyse de ces lecteurs montés via l'utilisation du paramètre '-drivetarget'.