nccgroup/uninstalledappcanaryA Canary which fires when uninstalled
이것은 Windows 서비스 카나리(Windows Service Canaries)에 관한 디셉션 엔지니어링 작업을 기반으로 합니다. https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/
특정 위협 행위자는 후속 단계를 드롭하기 전에 여러 제품을 제거합니다. 우리는 관련 이름으로 제거될 때 발화하는 여러 카나리 앱을 배포합니다.
2021년 Microsoft Exchange 전쟁 중에 우리는 위협 행위자가 사용한 다음과 같은 작전 기법을 관찰했습니다.
cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive
Security.vdproj를 편집하고 다음에서 REPLACME를 교체합니다.
"Arguments" = "8:REPLACEME.canarytokens.com"
https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69