TiEtwAgent - Rilevamento di iniezione di processi basato su ETW

Questo progetto è stato creato per ricercare, costruire e testare diversi casi d'uso di rilevamento di iniezione di memoria e tecniche di bypass. L'agente utilizza il provider di traccia eventi Microsoft-Windows-Threat-Intelligence, come alternativa più moderna e stabile all'hooking in spazio utente, con il vantaggio della visibilità in modalità kernel.

Il progetto dipende dalla libreria microsoft/krabsetw per la configurazione e il consumo di ETS.

Un post di blog di accompagnamento può essere trovato qui: https://blog.redbluepurple.io/windows-security-research/kernel-tracing-injection-detection

Aggiungere nuovi rilevamenti

Le funzioni di rilevamento possono essere facilmente aggiunte in DetectionLogic.cpp e chiamate da detect_event(GenericEvent evt) per qualsiasi tipo di evento sorgente. Il supporto per nuovi campi evento può essere facilmente aggiunto aggiungendo il loro nome alla mappa nella dichiarazione della classe GenericEvent.

Istruzioni di configurazione

Supponendo che tu non abbia un certificato di firma attendibile da Microsoft:

• Metti la tua macchina in modalità di firma test con bcdedit
• Genera un certificato auto-firmato con ELAM e Code Signing EKU
• Firma TiEtwAgent.exe e il tuo driver ELAM con il certificato
• ./TiEtwAgent install
• net start TiEtwAgent
• Cerca i log, di default in C:\Windows\Temp\TiEtwAgent.txt

TODO

• Servizio PPL, parsing eventi
• Primo rilevamento
• Ciclo di vita del rilevamento
• Ciclo di vita basato sul rischio

PS. Se non vuoi scrivere un driver ELAM, puoi ottenerne uno da https://github.com/pathtofile/PPLRunner/tree/main/elam_driver

Un ringraziamento speciale a @pathtofile per il post qui: https://blog.tofile.dev/2020/12/16/elam.html