Canary per app disinstallate

Lavori precedenti

Questo si basa sul lavoro di ingegneria dell'inganno attorno ai Windows Service Canaries https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/

Tesi

Alcuni attori delle minacce disinstallano una serie di prodotti prima di rilasciare gli stadi successivi. Distribuiamo una serie di app canary che si attivano quando vengono disinstallate, con nomi pertinenti.

Tradecraft dei crypto miner

Durante le guerre di Microsoft Exchange del 2021 abbiamo osservato il seguente tradecraft utilizzato da un attore delle minacce

cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive

Configurazione

Modifica Security.vdproj e sostituisci REPLACME in

"Arguments" = "8:REPLACEME.canarytokens.com"

https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69

Compilazione e installazione

Effettua una build
Installa
.. attendi

UninstalledAppCanary