심판, 배심원, 그리고 실행 파일

위협 헌팅 포렌식 도구

기능:

• 즉시 마운트된 파일 시스템에서 위협 스캔
• 또는 사고 발생 전 시스템 베이스라인을 수집하여 추가 위협 헌팅 능력 확보
• 사고 전, 중, 후에 사용 가능
• 하나에서 여러 워크스테이션까지
• MFT를 스캔하여 파일 권한, 파일 잠금, OS 파일 보호/숨김/그림자 우회
• 파일당 최대 51개의 다양한 속성 수집
• 스캔 결과는 SQL 테이블에 저장되어 나중에 검색, 여러 스캔 및/또는 여러 시스템에 걸친 결과 집계, 과거 또는 회고적 분석 가능
• SQL의 힘을 활용하여 파일 시스템 검색, 파일 속성 쿼리, 복잡하거나 높은 수준의 질문에 답변, 위협 또는 침해 지표 헌팅 수행

요구 사항:

• .NET Framework v4.8
• Microsoft Visual C++ 2015 Redistributable
• 로컬 또는 원격 SQL 데이터베이스 (읽기/쓰기/생성 권한 필요)
• Visual Studio (C# 코드를 컴파일하려는 경우)
• 인터넷 접속 (그렇지 않으면 이 코드를 어떻게 얻었습니까??? 또한 NuGet 패키지용)
• SQL 기본 지식

SQL로 쿼리를 작성하여 (여러) 파일 시스템에서 바이러스, 맬웨어, APT를 헌팅하세요.

자세히 설명하겠습니다...

먼저 잠재적으로 맬웨어, 바이러스, APT(고급 지속 위협) 등에 오염된 디스크 또는 디스크 이미지로 시작한 다음 이 도구로 스캔합니다. (선택 사항으로, 미리 알고 그렇게 할 통찰력과 선견지명이 있다면, 먼저 알려진 정상 기준 디스크 이미지를 이 도구로 스캔하는 것이 좋습니다(나중에 해도 됩니다—상관없습니다). 이것은 반드시 필요한 것은 아니지만, 조사에 도움이 될 수 있습니다.) 이 도구의 포렌식 수준 스캔 부분은 파일 시스템(또는 그 이미지)에 있는 각 파일에 대한 많은 속성을 수집하여 SQL 관계형 데이터베이스 테이블에 배치합니다. 비결은 생성된 데이터베이스에 대해 SQL 언어로 쿼리를 사용하여 데이터를 위협 헌팅, 조사 또는 질문할 수 있다는 점에 있습니다. 여기서 핵심 기능은 독점적인 쿼리 언어를 만들지 않았다는 것입니다. SQL을 알고 버튼을 클릭하는 방법을 알고 있다면 이미 이 도구를 마스터처럼 사용하는 방법을 알고 있는 것입니다. 모르더라도, 이 개념은 사전 정의된 쿼리(아래 참조)만으로도 큰 도움이 될 정도로 강력합니다.

포렌식 수준 스캔.

먼저, 도구는 MFT(마스터 파일 테이블—NTFS가 기록을 유지하는 방식)에서 찾은 각 레코드에 대한 데이터베이스 항목을 생성합니다. 이는 파일 보안 권한, 파일 숨김, 은닉 또는 난독화 기술, 파일 삭제 또는 타임스탬프 조작을 우회합니다. 이러한 기술은 파일이 스캔되고 목록화되는 것을 막지 못합니다. 파일의 바이트는 MFT에서 읽혀지며, 상위 수준 OS API 호출을 사용하여 데이터 포인트에 접근하기 전에 MFT에서 읽은 파일 바이트에서 가능한 많은 데이터 포인트를 추출합니다.

풍부한 고급 데이터 분석.

MFT 및 포렌식 수준 데이터가 확보된 후, 각 파일에 대해 사용 가능한 운영 체제 수준 속성, 데이터 및 메타데이터를 수집하여 MFT 항목에서 생성된 각 항목을 보강합니다. 그 결과, 파일 권한(ACL), 파일 잠금(사용 중), 디스크 손상, 0바이트 길이 파일 또는 기타 여러 이유로 운영 체제 API 또는 닷넷 프레임워크에서 파일이나 그 속성에 접근할 수 없더라도, 파일의 존재는 여전히 기록, 로깅 및 추적됩니다. 그러나 해당 항목은 운영 체제에서 접근할 수 없었던 정보를 포함하지 않을 뿐입니다. 각 파일에 대해 최대 51개의 다양한 데이터 포인트를 수집할 수 있습니다.

각 파일에 대해 수집되는 정보는 다음과 같습니다:

• SHA256 해시
• MD5 해시
• 임포트 테이블 해시 (존재하는 경우)
• MFT 번호 및 시퀀스 번호
• MFT 생성/수정/액세스 날짜
• OS에서 보고한 생성/수정/액세스 날짜
• 모든 '표준' OS 파일 속성: 위치, 크기, 날짜 스탬프, 속성, 메타데이터
• PE, DLL 또는 드라이버인가?
• Authenticode 서명이 있는가?
• X.509 인증서 체인이 검증되는가?
• 사용자 정의 YARA 규칙 (일치하는 규칙 이름 나열)
• 파일 엔트로피
• 총 최대 51개의 다양한 데이터 포인트

예제 데이터 행:

내장 쿼리:

/*
IDEA: All files in the directory C:\Windows\System32\ should be 'owned' by TrustedInstaller.
If a file in the System32 directory is owned by a different user, this indicates an anomaly, 
and that user is likely the user that created that file.
Malware likes to masquerade around as valid Windows system files.
Executables that are placed in the System32 directory not only look more official, as it is a common path for
system files, but an explicit path to that executable does not need to be supplied to execute it from the
command line, windows 'Run' dialog box of the start menu, or the win32 API call ShellExecute.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
        [FileOwner] <> 'TrustedInstaller'
    AND [DirectoryLocation] = ':\Windows\System32'
    AND IsSigned = 0
ORDER BY [PrevalenceCount] DESC


/*
IDEA: The MFT creation timestamp and the OS creation timestamp should match.
If the MFT creation timestamp occurs after the creation time reported by the OS meta-data,
this indicates an anomaly.
Timestomp is a tool that is part of the Metasploit Framework that allows a user to backdate a file
to an arbitrary time of their choosing. There really isn't a good legitimate reason for doing this
(let me know if you can think of one), and is considered an anti-forensics technique.
*/

SELECT 
TOP 1000 * 
FROM  [FileProperties]
WHERE
	([MftTimeAccessed] <> [LastAccessTime]) OR
	([MftTimeCreation] <> [CreationTime]) OR
	([MftTimeMftModified] <> [LastWriteTime])
ORDER BY [DateSeen] DESC

/*
IDEA: The 'CompileDate' property of any executable or dll should always come before the creation timestamp for that file.
Similar logic applies as for the MFT creation timestamp occuring after the creation timestamp. How could a program have been
compiled AFTER the file that holds it was created? This anomaly indicates backdating or timestomping has occurred.
*/


SELECT 
TOP 1000 *
FROM  [FileProperties]
WHERE
	([MftTimeCreation] < [CompileDate]) OR
	([CreationTime] < [CompileDate])
ORDER BY [DateSeen] DESC