gossithedog/threathunting일반적인 Windows LOLBins를 통한 잠재적인 악성코드 다운로드 및 의심스러운 도메인 호출을 YARA 규칙과 Nexthink 텔레메트리 모듈을 사용하여 탐지합니다.
조직 내 위협을 헌팅하기 위한 GPL v3 도구를 공개합니다.
Threat hunting - Potential malware downloads v1.0.xml
이 보고서는 일반적인 악성 문서 기법에서 발생하는 모든 인터넷 도메인 호출을 보여줍니다. 대부분의 엔드포인트 악성코드(매크로, Office 익스플로잇 등)는 페이로드를 다운로드할 때 동일한 방식의 메서드 집합을 사용합니다.
현재 모니터링되는 방식은 다음과 같습니다:
보고서에는 도메인이 표시됩니다. 원하는 경우 보고서를 사용자나 실행 파일 기준으로 변경하거나 각 도메인을 조사할 수 있습니다.
오탐(false positive)과 관련하여, 내부 IP 범위로 향하는 트래픽을 필터링하는 규칙을 추가하거나 환경 내부의 도메인을 화이트리스트에 등록하고 싶을 가능성이 매우 높습니다. 예를 들어 프린터를 추가하면 rundll32가 호출되고 웹 트래픽을 위해 프린터에 접근하여 보고서에 트리거가 발생하는데, 해당 항목을 화이트리스트에 등록하면 됩니다.
