nccgroup/uninstalledappcanaryएक कैनरी जो अनइंस्टॉल होने पर फायर करती है
यह विंडोज़ सर्विस कैनरीज़ के आसपास के डिसेप्शन इंजीनियरिंग कार्य पर आधारित है। https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/
कुछ थ्रेट एक्टर बाद के चरणों को ड्रॉप करने से पहले कई उत्पादों को अनइंस्टॉल कर देते हैं। हम कई कैनरी ऐप्स तैनात करते हैं जो प्रासंगिक नामों के साथ अनइंस्टॉल होने पर फायर करते हैं।
2021 के Microsoft Exchange युद्धों के दौरान हमने निम्नलिखित ट्रेडक्राफ्ट देखा जो एक थ्रेट एक्टर द्वारा इस्तेमाल किया गया था
cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive
Security.vdproj संपादित करें और REPLACME को इसमें बदलें
"Arguments" = "8:REPLACEME.canarytokens.com"
https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69