Выуживание персистентности из Windows

Что это?

Trawler — это скрипт PowerShell, предназначенный для помощи специалистам по реагированию на инциденты в обнаружении потенциальных индикаторов компрометации на хостах Windows, с основным фокусом на механизмы персистентности, включая запланированные задачи, службы, изменения реестра, элементы автозагрузки, модификации бинарных файлов и другое.

В настоящее время Trawler может обнаруживать большинство техник персистентности, специально выделенных MITRE и Atomic Red Team, причём с регулярным добавлением новых детекций.

Основные возможности

Сканирование ОС Windows на наличие различных техник персистентности (перечислены ниже)
Вывод в CSV с техникой MITRE и метаданными для начала расследования
Документация по анализу и устранению (https://github.com/joeavanzato/Trawler/wiki/Analysis-and-Remediation-Guidance)
Динамическое присвоение уровня риска для каждого обнаружения
Встроенные списки разрешений для распространённых конфигураций Windows (Windows 10/Server 2012|2016|2019|2022) для снижения шума
Захват метаданных персистентности из «эталонного» корпоративного образа (снимка) для использования в качестве динамического списка разрешений во время выполнения
Анализ смонтированных образов дисков с помощью перенацеливания диска

Как использовать?

Просто загрузите и запустите trawler.ps1 из административной консоли PowerShell/cmd — любые обнаружения будут отображены в консоли, а также записаны в CSV ('detections.csv') в текущем рабочем каталоге. Сгенерированный CSV будет содержать имя обнаружения, источник, риск, метаданные и соответствующую технику MITRE.

Или воспользуйтесь этой однострочной командой из административного терминала PowerShell:

iex ((New-Object System.Net.WebClient).DownloadString('https://raw.githubusercontent.com/joeavanzato/Trawler/main/trawler.ps1'))

Некоторые детекции имеют встроенные списки разрешений, помогающие убрать шум от стандартных конфигураций Windows (10/2016/2019/2022) — ожидаемые запланированные задачи, службы и т.д. Конечно, злоумышленники всегда могут напрямую захватить их и с большой детализацией маскироваться под стандартный процесс ОС — будьте внимательны, используйте множественные формы анализа и обнаружения при работе с опытными противниками.

Если у вас есть примеры или идеи для дополнительных детекций, пожалуйста, смело отправляйте Issue или PR с соответствующими техническими деталями/ссылками — кодовая база сейчас немного грязная, со временем будет очищена.

Кроме того, если вы обнаружите очевидные ложные срабатывания, сообщите мне об этом, открыв issue или PR на GitHub! Главные виновники этого — нестандартные COM, службы или задачи.

Параметры командной строки

-scanoptions : Пролистывание возможных детекций и выбор подмножества с помощью разделённых запятыми терминов (например, .\trawler.ps1 -scanoptions Services,Processes) или пропустите, чтобы выполнить все детекции
-quiet : Подавление вывода детекций в консоль
-snapshot : Путь к предыдущему JSON-выводу trawler для использования в качестве списка разрешений.
-outpath : Определение пользовательского пути для сохранения вывода детекций (по умолчанию "$PSScriptRoot\detections.csv")
-drivetarget : Определение переменной для смонтированного целевого диска (например, .\trawler.ps1 -targetdrive "D:") — (по умолчанию локальная система)
-daysago : Определение количества «дней назад», которое мы хотим учитывать для детекций, основанных на времени (по умолчанию 45)
-hashmode : Определение алгоритма хеширования для поддерживаемых детекций — поддерживает sha1, md5 или sha256 (по умолчанию sha1)
-evtx : Включение создания источника журнала событий и записи детекций в журнал приложений под источником trawler с EID=9001 (по умолчанию отключено)

Чем это отличается от PersistenceSniper?

PersistenceSniper — замечательный инструмент; я активно использовал его в прошлом — но есть несколько ключевых моментов, отличающих эти утилиты:

trawler (на данный момент) — локальная утилита; однако было бы несложно обернуть её в цикл и использовать сеансы WinRM/PowerShell для выполнения на удалённых хостах
trawler реализует списки разрешений для многих «шумных» детекций, чтобы убрать ожидаемые обнаружения из стандартных конфигураций Windows (10/2016/2019/2022), и они постоянно обновляются (PS тоже это делает)
- PersistenceSniper (в основном) не содержит никаких списков разрешений — поэтому создаётся больше шума при рассмотрении таких элементов, как службы, запланированные задачи, общее сканирование COM DLL и т.д.
вывод trawler упрощён — имя, риск, источник, техника MITRE и метаданные — единственные элементы, предоставляемые для каждого обнаружения, чтобы помочь аналитикам быстро начать охоту за персистентностью — это палка о двух концах.
Регулярные выражения используются во многих проверках для обнаружения «подозрительных» ключевых слов или шаблонов в различных критических областях, включая содержимое сканируемых файлов, значения реестра и т.д. Это обеспечивает большую гибкость, но также потенциально более высокий уровень ложных срабатываний.
trawler поддерживает «перенацеливание диска» для проверки «мёртвых» машин, смонтированных на аналитической машине.

В целом эти инструменты чрезвычайно похожи, но подходят к проблеме с немного разных сторон: PersistenceSniper предоставляет всю информацию аналитику для проверки, в то время как Trawler пытается ограничить возвращаемые данные только результатами, которые, вероятно, являются механизмами персистентности злоумышленника. Как следствие, с trawler возможны ложноотрицательные результаты, если злоумышленник полностью имитирует элемент из списка разрешений.

Например — PersistenceSniper вернёт все «небезопасные» службы Windows, в то время как trawler вернёт только те, которые соответствуют определённому правилу обнаружения, и т.д.

Настройка под вашу среду

Trawler поддерживает загрузку списка разрешений из «снимка» — для этого требуется два шага.

Запустите '.\trawler.ps1 -snapshot' на «эталонном образе», представляющем серверы в вашей среде — после завершения, помимо стандартного 'detections.csv', будет создан файл с именем 'snapshots.csv'
Этот файл затем можно использовать как входные данные для trawler при запуске на других хостах, и данные будут динамически загружены как список разрешений для каждой соответствующей детекции
1. '.\trawler.ps1' -loadsnapshot "путь\к\snapshot.csv"

Вот и всё — все соответствующие детекции затем будут брать данные из файла снимка как список разрешений, чтобы уменьшить шум и выявить любые потенциальные изменения базового образа.

(Списки разрешений реализованы для большинства проверок, но не для всех — ещё активно внедряются)

Перенацеливание диска

Часто во время расследования аналитики могут смонтировать новый диск, представляющий образ устройства Windows — Trawler теперь частично поддерживает сканирование таких смонтированных дисков с помощью параметра '-drivetarget'.

Во время выполнения Trawler перенацеливает временные переменные уровня скрипта для проверки артефактов на основе файлов, а также пытается загрузить соответствующие кусты реестра (HKLM\SOFTWARE, HKLM\SYSTEM, NTUSER.DAT, USRCLASS.DAT) ниже HKLM/HKU с префиксом 'ANALYSIS_'. Trawler также попытается выгрузить эти временно загруженные кусты по завершении скрипта.

Trawler

Популярное