TiEtwAgent - ETW 기반 프로세스 인젝션 탐지

이 프로젝트는 다양한 메모리 인젝션 탐지 사용 사례와 우회 기법을 연구, 구축 및 테스트하기 위해 만들어졌습니다. 에이전트는 Microsoft-Windows-Threat-Intelligence 이벤트 추적 공급자를 사용하며, Userland 후킹보다 더 현대적이고 안정적인 대안으로, 커널 모드 가시성의 이점을 제공합니다.

프로젝트는 ETS 설정 및 소비를 위해 microsoft/krabsetw 라이브러리에 의존합니다.

관련 블로그 게시물은 여기에서 확인할 수 있습니다: https://blog.redbluepurple.io/windows-security-research/kernel-tracing-injection-detection

새 탐지 추가

탐지 함수는 DetectionLogic.cpp에 쉽게 추가할 수 있으며, 모든 소스 이벤트 유형에 대해 detect_event(GenericEvent evt)에서 호출할 수 있습니다. 새 이벤트 필드에 대한 지원은 GenericEvent 클래스 선언의 맵에 해당 이름을 추가하여 쉽게 확장할 수 있습니다.

설정 지침

Microsoft가 신뢰하는 서명 인증서가 없다고 가정합니다:

• bcdedit을 사용하여 머신을 테스트 서명 모드로 전환합니다.
• ELAM 및 코드 서명 EKU가 포함된 자체 서명 인증서를 생성합니다.
• 인증서로 TiEtwAgent.exe와 ELAM 드라이버에 서명합니다.
• ./TiEtwAgent install
• net start TiEtwAgent
• 로그 파일을 찾습니다. 기본 위치는 C:\Windows\Temp\TiEtwAgent.txt입니다.

TODO

• PPL 서비스, 이벤트 파싱
• 첫 번째 탐지
• 탐지 수명 주기
• 위험 기반 수명 주기

추신: ELAM 드라이버를 직접 작성하고 싶지 않다면 https://github.com/pathtofile/PPLRunner/tree/main/elam_driver 에서 가져올 수 있습니다.

@pathtofile 님께 특별히 감사드립니다. 게시물은 다음에서 확인할 수 있습니다: https://blog.tofile.dev/2020/12/16/elam.html