nccgroup/uninstalledappcanaryアンインストール時に発火するカナリア
これは Windows サービス Canary に関する欺瞞エンジニアリングの研究に基づいています。 https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/
特定の脅威アクターは、後の段階をドロップする前に、多数の製品をアンインストールします。我々は、関連する名前でアンインストールされたときに発動する多数のカナリアアプリを展開します。
2021 年の Microsoft Exchange 紛争の際、ある脅威アクターが使用する以下の手口を観測しました。
cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive
Security.vdproj を編集し、以下の REPLACME を置き換えます。
"Arguments" = "8:REPLACEME.canarytokens.com"
https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69