Canário de Aplicativo Desinstalado

Trabalho Anterior

Isto baseia-se no trabalho de engenharia de decepção em torno de Canários de Serviço do Windows https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/

Tese

Certos atores de ameaças desinstalam uma série de produtos antes de lançar estágios posteriores. Implementamos uma série de aplicativos canários que disparam quando desinstalados com nomes relevantes.

Táticas de Criptomineradores

Durante as guerras do Microsoft Exchange de 2021, observamos as seguintes táticas usadas por um ator de ameaças

cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive

Configuração

Edite Security.vdproj e substitua REPLACME em

"Arguments" = "8:REPLACEME.canarytokens.com"

https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69

Compilar e Instalar

Faça um build
Instale
.. espere

UninstalledAppCanary