Канарейка удалённых приложений

Предыдущие работы

Это продолжение предыдущей работы по инженерии обмана, посвящённой канареечным службам Windows. https://research.nccgroup.com/2021/03/04/deception-engineering-exploring-the-use-of-windows-service-canaries-against-ransomware/

Тезис

Некоторые злоумышленники удаляют ряд продуктов перед загрузкой последующих стадий. Мы разворачиваем несколько канареечных приложений с релевантными именами, которые срабатывают при удалении.

Тактика криптомайнеров

Во время атак на Microsoft Exchange в 2021 году мы наблюдали следующую тактику, используемую одним злоумышленником.

cmd /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
cmd /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive

Настройка

Отредактируйте Security.vdproj и замените REPLACME в

"Arguments" = "8:REPLACEME.canarytokens.com"

https://github.com/nccgroup/UninstalledAppCanary/blob/main/Security/Security.vdproj#L69

Сборка и установка

Выполните сборку
Установите
.. подождите

UninstalledAppCanary