Judge Jury and Executable

脅威ハンティングフォレンジックツール

機能:

• マウントされたファイルシステムをすぐにスキャンして脅威を検出
• または、インシデント前にシステムのベースラインを収集し、脅威ハンティング能力を強化
• インシデントの前、最中、後に使用可能
• 1台から多数のワークステーションに対応
• MFTをスキャンし、ファイルのアクセス許可、ファイルロック、OSのファイル保護/隠蔽/シャドウイングをバイパス
• 各ファイルについて最大51種類のプロパティを収集
• スキャン結果はSQLテーブルに格納され、後で検索、複数のスキャンや複数のマシンにわたる結果の集約、過去の分析や遡及的解析が可能
• SQLの力を活用してファイルシステムを検索し、ファイルプロパティを照会し、複雑または高レベルの質問に答え、脅威や侵害指標をハント

要件:

• .NET Framework v4.8
• Microsoft Visual C++ 2015 再頒布可能パッケージ
• 読み取り/書き込み/作成アクセス権を持つローカルまたはリモートのSQLデータベース
• Visual Studio（C#コードをコンパイルする場合）
• インターネットへのアクセス（そうでなければどうやってこのコードを入手したのか？またNuGetパッケージのため）
• SQLの基本的な知識

SQLクエリを使用して（複数の）ファイルシステム上のウイルス、マルウェア、APTをハントする

詳しく説明します...

まず、マルウェア、ウイルス、APT（Advanced Persistent Threat）などで汚染されている可能性のあるディスクまたはディスクイメージから始め、このツールでスキャンします。（オプションで、知恵と先見の明があれば、事前に既知の正常なベースラインディスクイメージをスキャンしておくこともできます（後でも構いません）。必須ではありませんが、役立つ可能性があります。）このツールのフォレンジックレベルのスキャン部分は、ファイルシステム（またはそのイメージ）内の各ファイルに関する多数のプロパティを収集し、それらをSQLリレーショナルデータベーステーブルに格納します。秘訣は、作成されたデータベースに対してSQLの言語でクエリを使用して、データを脅威ハント、調査、または質問できることです。ここでの重要な特徴は、独自のクエリ言語を発明しなかったことです。SQLを知っていて、ボタンのクリック方法を知っていれば、このツールをプロのように使いこなす方法はすでに分かっています。たとえ知らなくても、この概念は強力で、あらかじめ用意されたクエリ（下記参照）で多くの成果を得られます。

フォレンジックレベルのスキャン

まず、ツールはMFT（マスターファイルテーブル。NTFSが記録管理を行う方法）で見つかった各レコードに対してデータベースにエントリを作成します。これにより、ファイルのセキュリティアクセス許可、ファイルの隠蔽、ステルスまたは難読化技術、ファイルの削除、タイムスタンプの改ざんをバイパスします。これらの技術は、ファイルがスキャンされてカタログ化されるのを防ぐことはできません。ファイルのバイトはMFTから読み取られ、高レベルのOS API呼び出しを使用してデータポイントにアクセスする前に、MFTから読み取られたファイルのバイトから可能な限り多くのデータポイントが取得されます。

リッチで高レベルなデータ分析

MFTおよびフォレンジックレベルのデータが確保された後、オペレーティングシステムレベルのプロパティ、データ、メタデータが各ファイルについて収集され、MFTエントリから作成された各エントリを補完します。その結果、ファイルまたはそのプロパティがファイルアクセス許可（ACL）、ファイルロック（使用中）、ディスクの破損、ゼロバイト長のファイル、またはその他のさまざまな理由でオペレーティングシステムAPIや.NET Frameworkからアクセスできない場合でも、ファイルの存在は記録、ログ、追跡されます。ただし、そのエントリには、オペレーティングシステムからアクセスできなかった情報は含まれません。各ファイルについて最大51の異なるデータポイントが収集される可能性があります。

収集される各ファイルの情報:

• SHA256ハッシュ
• MD5ハッシュ
• インポートテーブルハッシュ（存在する場合）
• MFT番号とシーケンス番号
• MFTの作成/変更/アクセス日時
• OSが報告する作成/変更/アクセス日時
• すべての「標準的な」OSファイルプロパティ：場所、サイズ、日付スタンプ、属性、メタデータ
• PE、DLL、ドライバのいずれか？
• Authenticode署名されているか？
• X.509証明書チェーンが検証されるか？
• カスタムYARAルール（一致したルール名をリスト）
• ファイルエントロピー
• 合計最大51の異なるデータポイント

データ行の例:

既定のクエリ:

/*
IDEA: All files in the directory C:\Windows\System32\ should be 'owned' by TrustedInstaller.
If a file in the System32 directory is owned by a different user, this indicates an anomaly, 
and that user is likely the user that created that file.
Malware likes to masquerade around as valid Windows system files.
Executables that are placed in the System32 directory not only look more official, as it is a common path for
system files, but an explicit path to that executable does not need to be supplied to execute it from the
command line, windows 'Run' dialog box of the start menu, or the win32 API call ShellExecute.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
        [FileOwner] <> 'TrustedInstaller'
    AND [DirectoryLocation] = ':\Windows\System32'
    AND IsSigned = 0
ORDER BY [PrevalenceCount] DESC


/*
IDEA: The MFT creation timestamp and the OS creation timestamp should match.
If the MFT creation timestamp occurs after the creation time reported by the OS meta-data,
this indicates an anomaly.
Timestomp is a tool that is part of the Metasploit Framework that allows a user to backdate a file
to an arbitrary time of their choosing. There really isn't a good legitimate reason for doing this
(let me know if you can think of one), and is considered an anti-forensics technique.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
	([MftTimeAccessed] <> [LastAccessTime]) OR
	([MftTimeCreation] <> [CreationTime]) OR
	([MftTimeMftModified] <> [LastWriteTime])
ORDER BY [DateSeen] DESC

/*
IDEA: The 'CompileDate' property of any executable or dll should always come before the creation timestamp for that file.
Similar logic applies as for the MFT creation timestamp occuring after the creation timestamp. How could a program have been
compiled AFTER the file that holds it was created? This anomaly indicates backdating or timestomping has occurred.
*/


SELECT 
TOP 1000 *
FROM  [FileProperties]
WHERE
	([MftTimeCreation] < [CompileDate]) OR
	([CreationTime] < [CompileDate])
ORDER BY [DateSeen] DESC