搜索

[1112] 2020-09-08_[翻译]通过AMSI和机器学习阻断域攻击和其他后渗透行为

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-16
2020-09-08_[翻译]通过AMSI和机器学习阻断域攻击和其他后渗透行为 [ 翻 译 ] 通 过 A M S I 和 机 器 学 习 阻 断 域 攻 击 和 其 他 后 渗 透 行 为 Y 4 e r   C h a B u g   2 0 2 0 - 0 9 - 0 8 通 过 A M S I 和 机 器 学 习 阻 断 A C T I V E   D I R E C T O R Y 攻 击 和 其 他 后 渗 透 行 为 原 文 来 自 ： 微 软 D e f e n d e r   A T P 研 究 团 队   翻 译 @ Y 4 e r 原 文 链 接 ： h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 0 / 0 8 / 2 7 / s t o p p i n g - a c t i v e - d i r e c t o r y - a t t a c k s - a n d - o t h e r - p o s t - e x p l o i t a t i o n - b e h a v i o r - w i t h - a m s i - a n d - m a c h i n e - l e a r n i n g / 当 红 队 人 员 成 功 进 入 目 标 内 网 后 ， 通 常 下 一 步 是 对 网 络 进 行 信 息 收 集 ， 提 权 并 横 向 移 动 以 到 达 特 定 计 算 机 ， 或 尽 可 能 的 拿 到 更 多 机 器 权 限 。 对 于 这 些 操 作 ， 攻 击 者 通 常 会 探 查 受 影 响 网 络 的   A c t i v e   D i r e c t o r y ， 该   A c t i v e   D i r e c t o r y   管 理 域 的 身 份 验 证 和 资 源 权 限 。 攻 击 者 利 用 枚 举 用 户 并 与   A c t i v e   D i r e c t o r y   进 行 交 互 来 进 行 信 息 搜 集 ， 从 而 实 现 横 向 移 动 和 特 权 升 级 。 这 是   R y u k   等 勒 索 软 件 中 的 常 见 的 攻 击 手 段 。 这 些 后 渗 透 的 行 为 在 很 大 程 度 上 依 赖 于   P o w e r S h e l l   和   W M I   之 类 的 脚 本 引 擎 ， 因 为 这 类 脚 本 为 攻 击 者 提 供 了 灵 活 性 ， 并 使 他 们 能 够 像 正 常 的 人 为 活 动 一 样 融 入 企 业 防 护 设 备 。 脚 本 是 轻 量 级 的 ， 可 以 相 对 容 易 地 进 行 伪 装 和 混 淆 ， 并 且 可 以 通 过 命 令 行 直 接 将 其 加 载 到 内 存 中 或 在 内 存 中 直 接 与 脚 本 引 擎 交 互 来 实 现 无 文 件 运 行 。 反 恶 意 软 件 扫 描 接 口 （ A M S I ） 通 过 公 开 脚 本 内 容 和 行 为 来 帮 助 安 全 软 件 检 测 此 类 恶 意 脚 本 。 A M S I   与   W i n d o w s   1 0   以 及   O f f i c e   3 6 5   V B A   上 的 脚 本 引 擎 集 成 在 一 起 ， 以 深 入 了 解   P o w e r S h e l l ， W M I ， V B S c r i p t ， J a v a S c r i p t   和   O f f i c e   V B A   宏 的 执 行 。 M i c r o s o f t   D e f e n d e r   高 级 威 胁 防 护 （ A T P ） 中 的 行 为 阻 止 和 遏 制 功 能 充 分 利 用 了   A M S I   对 脚 本 的 可 见 性 ， 并 利 用 机 器 学 习 和 云 提 供 的 保 护 功 能 来 检 测 和 阻 止 恶 意 行 为 。 在 更 广 泛 的 协 调 防 御 中 ， 由   A M S I   驱 动 的 对 端 点 上 恶 意 脚 本 的 检 测 有 助 于   M i c r o s o f t   威 胁 防 护 ， 它 将 来 自   M i c r o s o f t   D e f e n d e r   A T P   的 信 号 和   M i c r o s o f t   3 6 5   安 全 产 品 组 合 中 的 其 他 解 决 方 案 相 结 合 ， 以 检 测 跨 域 攻 击 链 。 在 端 点 上 ， 性 能 优 化 的 机 器 学 习 模 型 通 过   A M S I   检 查 脚 本 内 容 和 行 为 。 当 脚 本 运 行 并 且 检 测 到 恶 意 或 可 疑 行 为 时 ， 将 从 内 容 中 提 取 特 征 ， 包 括 专 业 特 征 ， 机 器 学 习 选 择 的 特 征 以 及 模 糊 哈 希 。 轻 量 级 客 户 端 机 器 学 习 模 型 会 对 内 容 进 行 推 断 。 如 果 内 容 被 分 类 为 可 疑 ， 则 将 特 征 描 述 发 送 到 云 以 进 行 实 时 全 面 分 类 。 在 云 中 ， 重 量 级 机 器 学 习 模 型 会 分 析 元 数 据 ， 并 使 用 其 他 特 征 （ 例 如 文 件 年 龄 ， 流 行 程 度 和 其 他 的 此 类 信 息 ） 来 确 定 是 否 应 阻 止 脚 本 。 这 些 由   A M S I   驱 动 的 机 器 学 习 分 类 器 对 ， 每 个 脚 本 引 擎 一 对 ， 使   M i c r o s o f t   D e f e n d e r   A T P   能 够 检 测 恶 意 行 为 并 阻 止 利 用 后 渗 透 技 术 和 其 他 基 于 脚 本 的 攻 击 ， 即 使 它 们 已 经 开 始 运 行 。 在 本 文 中 ， 我 们 将 讨 论 一 些 被   A M S I   机 器 学 习 阻 止 的 域 攻 击 示 例 ， 包 括 无 文 件 落 地 。
图 1 . 客 户 端 和 云 中 的 一 对 A M S I 机 器 学 习 模 型 拦 截   B L O O D H O U N D B l o o d H o u n d   是 一 种 流 行 的 开 源 工 具 ， 用 于 枚 举 和 可 视 化   A c t i v e   D i r e c t o r y   域 ， 并 且 被 红 队 和 攻 击 者 用 作 后 渗 透 工 具 。 该 工 具 会 生 成 一 个 允 许 使 用 域 设 备 ， 用 户 主 动 登 录 到 设 备 以 及 资 源 及 其 所 有 权 限 的 图 表 。 攻 击 者 可 以 通 过 接 管 其 他 用 户 帐 户 或 将 自 己 添 加 到 具 有 高 特 权 的 组 中 ， 或 寻 求 横 向 移 动 路 径 以 达 到 其 目 标 特 权 ， 来 发 现 和 滥 用 弱 权 限 配 置 ， 以 进 行 特 权 升 级 。 攻 击 者 （ 包 括   R y u k   等 勒 索 软 件 的 开 发 者 ） 都 使 用   B l o o d H o u n d   作 为 攻 击 的 一 部 分 。 B l o o d H o u n d   使 用 了 称 为   S h a r p H o u n d   的 组 件 来 枚 举 域 并 收 集 各 种 类 别 的 数 据 ： 本 地 管 理 员 收 集 ， 组 成 员 身 份 收 集 ， 会 话 收 集 ， 对 象 属 性 收 集 ， A C L 收 集 和 信 任 收 集 。 然 后 ， 通 常 在 计 划 下 一 步 的 过 程 中 ， 将 这 些 枚 举 进 行 过 滤 ， 以 供 攻 击 者 可 视 化 和 分 析 。 S h a r p H o u n d   执 行 域 枚 举 ， 并 正 式 发 布 为 无 文 件 落 地 的 P o w e r S h e l l 内 存 版 本 和 基 于 e x e 的 可 执 行 文 件 。 如 果   P o w e r S h e l l   在 网 络 上 处 于 活 动 状 态 ， 那 么 确 定 其 无 文 件 变 种 至 关 重 要 。
图 2 .   S h a r p H o u n d   摄 取 器 代 码 片 段 当   S h a r p H o u n d   无 文 件 的   P o w e r S h e l l   在 内 存 中 运 行 时 ， 无 论 是 渗 透 测 试 人 员 还 是 攻 击 者 ， A M S I 都 会 看 到 其 执 行 缓 冲 区 。 客 户 端 上 的 机 器 学 习 模 型 使 该 缓 冲 区 处 于 优 先 状 态 ， 并 将 其 发 送 到 云 以 进 行 最 终 分 类 。 图 3 . 示 例 化 的 S h a r p H o u n d 摄 取 器 代 码 云 中 的 对 应 机 器 学 习 模 型 会 分 析 元 数 据 ， 整 合 其 他 信 号 并 返 回 结 论 。 实 时 检 测 到 恶 意 脚 本 并 在 端 点 上 将 其 停 止 ： 图 4 .   S h a r p H o u n d 的 M i c r o s o f t   D e f e n d e r 防 病 毒 检 测 检 测 到 的 错 误 被 报 告 到   M i c r o s o f t   D e f e n d e r   安 全 中 心 ， S O C 分 析 人 员 可 以 在 其 中 使 用 M i c r o s o f t   D e f e n d e r   A T P 的 丰 富 工 具 来 调 查 和 响 应 攻 击 ：
图 5 .   M i c r o s o f t   D e f e n d e r 安 全 中 心 警 报 显 示 检 测 到 S h a r p H o u n d A I 已 经 学 会 了 自 动 识 别 和 阻 止 这 些 攻 击 ， 并 且 将 继 续 适 应 和 学 习 我 们 观 察 到 的 新 攻 击 方 法 ， 从 而 提 供 这 种 保 护 。 S T O P P I N G   K E R B E R O A S T I N G 像 B l o o d H o u n d 攻 击 一 样 ， K e r b e r o a s t i n g 是 一 种 红 队 用 于 窃 取 凭 据 的 技 术 。 K e r b e r o a s t i n g 攻 击 滥 用 K e r b e r o s 票 证 授 予 服 务 （ T G S ） 来 获 取 帐 户 访 问 权 限 ， 该 帐 户 通 常 针 对 域 帐 户 进 行 横 向 移 动 。 K e r b e r o s 攻 击 涉 及 扫 描 A c t i v e   D i r e c t o r y 环 境 以 生 成 具 有 K e r b e r o s 服 务 主 体 名 称 （ S P N ） 的 用 户 帐 户 列 表 。 攻 击 者 请 求 这 些 S P N 将 K e r b e r o s 服 务 票 证 授 予 这 些 帐 户 ， 然 后 使 用 M i m i k a t z 等 各 种 工 具 将 票 证 从 内 存 中 转 储 ， 然 后 对 其 进 行 抽 取 以 对 票 证 的 加 密 段 进 行 脱 机 暴 力 破 解 。 如 果 成 功 ， 攻 击 者 可 以 识 别 与 帐 户 关 联 的 密 码 ， 然 后 将 其 用 于 远 程 登 录 计 算 机 或 访 问 资 源 。 导 致 散 列 提 取 的 所 有 K e r b e r o a s i n g 攻 击 步 骤 都 可 以 使 用 单 个 P o w e r S h e l l （ I n v o k e - K e r b e r o a s t . p s 1 ） 完 成 ， 并 且 已 集 成 到 流 行 的 利 用 后 框 架 中 ， 例 如   P o w e r S p l o i t   和   E m p i r e ： 图 6 . 用 于 下 载 和 执 行 K e r b e r o a s t i n g 以 提 取 用 户 密 码 哈 希 的 单 个 命 令 行
图 7 .   K e r b e r o a s t i n g 代 码 由 于 A M S I 对 P o w e r S h e l l 脚 本 具 有 可 见 性 ， 因 此 在 运 行 I n v o k e - K e r b e r o a s t . p s 1 时 ， A M S I   允 许 在 运 行 时 检 查 P o w e r S h e l l 的 内 容 。 此 缓 冲 区 由 客 户 端 机 器 学 习 模 型 进 行 特 征 化 和 分 析 ， 然 后 发 送 到 云 以 进 行 实 时 M L 分 类 。 图 8 . 示 例 化 的 K e r b e r o a s t i n g 代 码 M i c r o s o f t   D e f e n d e r   A T P 发 出 检 测 I n v o k e - K e r b e r o a s t . p s 1 的 警 报 ： 图 9 .   M i c r o s o f t   D e f e n d e r 安 全 中 心 警 报 ， 显 示 检 测 到 I n v o k e - K e r b e r o a s t . p s 1 训 练 机 器 学 习 模 型 为 了 确 保 持 续 高 质 量 地 检 测 威 胁 ， 每 个 脚 本 引 擎 使 用 实 时 保 护 数 据 和 威 胁 调 查 对 A M S I 机 器 学 习 模 型 进 行 了 训 练 。 功 能 化 是 机 器 学 习 模 型 做 出 关 于 内 容 是 恶 意 的 还 是 良 性 的 智 能 决 策 的 关 键 。 对 于 基 于 行 为 的 脚 本 日 志 ， 我 们 提 取 脚 本 使 用 的 库 、 C O M 对 象 和 函 数 名 称 的 集 合 。 学 习 脚 本 内 容 中 最 重 要 的 功 能 的 方 法 是 ， 通 过 对 脚 本 或 行 为 日 志 中 的 字 符 进 行 字 符 编 码 ， 然 后 结 合 具 有 L 1 正 则 化 功 能 修 整 的 半 异 步 随 机 双 坐 标 上 升 （ S A - S D C A ） 算 法 来 学 习 和 部 署 最 重 要 的 功 能 字 符 n g r a m 功 能 。 除 了 用 于 训 练 客 户 端 模 型 的 相 同 功 能 之 外 ， 用 于 训 练 云 模 式 的 其 他 复 杂 功 能 还 包 括 模 糊 哈 希 ， 聚 类 哈 希 ， 部 分 哈 希 等 。 此
外 ， 云 模 型 还 可 以 访 问 其 他 信 息 ， 例 如 文 件 年 龄 ， 流 行 程 度 ， 全 局 文 件 信 息 ， 信 誉 等 ， 这 使 云 模 型 可 以 做 出 更 准 确 的 决 策 来 进 行 阻 止 。 结 论 ： 广 泛 的 知 名 度 为 A I 驱 动 的 保 护 提 供 了 信 息 在 整 个 M i c r o s o f t 中 ， 人 工 智 能 和 机 器 学 习 保 护 技 术 利 用 M i c r o s o f t 在 各 种 表 面 上 的 广 泛 可 见 性 来 识 别 新 的 和 未 知 的 威 胁 。 M i c r o s o f t 威 胁 防 护 使 用 这 些 机 器 学 习 驱 动 的 防 护 来 检 测 跨 端 点 ， 电 子 邮 件 和 数 据 ， 身 份 和 应 用 程 序 的 威 胁 。 在 终 结 点 计 算 机 上 ， M i c r o s o f t   D e f e n d e r   A T P 使 用 多 个 下 一 代 保 护 引 擎 来 检 测 各 种 威 胁 。 这 些 引 擎 之 一 利 用 来 自 A M S I 的 见 解 以 及 客 户 端 和 云 中 的 成 对 机 器 学 习 模 型 协 同 工 作 ， 以 检 测 并 阻 止 执 行 后 的 恶 意 脚 本 。 这 些 A M S I 模 型 对 （ 每 个 脚 本 引 擎 一 对 ） 是 M i c r o s o f t   D e f e n d e r   A T P 中 基 于 行 为 的 阻 止 和 遏 制 功 能 的 一 部 分 ， 该 功 能 旨 在 检 测 和 阻 止 威 胁 ， 即 使 它 们 已 经 开 始 运 行 。 在 运 行 时 ， 威 胁 是 暴 露 的 ， 无 法 隐 藏 在 加 密 或 混 淆 之 后 。 复 杂 的 威 胁 可 以 通 过 执 行 前 防 御 进 行 防 御 ， 这 为 实 例 增 加 了 另 一 层 保 护 。 图 1 0 .   M i c r o s o f t   D e f e n d e r   A T P 下 一 代 保 护 引 擎 在 此 博 客 文 章 中 ， 我 们 展 示 了 基 于 行 为 的 机 器 学 习 保 护 对 于 检 测 和 阻 止 后 渗 透 恶 意 脚 本 （ 包 括 无 文 件 ） 的 利 用 ， 以 及 基 于 B l o o d H o u n d 的 攻 击 和 基 于 K e r b e r o a s t i n g 的 攻 击 而 言 ， 这 对 基 于 机 器 学 习 的 A M S I 驱 动 的 至 关 重 要 。 通 过 A M S I ， 脚 本 内 容 和 行 为 得 以 公 开 ， 从 而 使 M i c r o s o f t   D e f e n d e r   A T P 能 够 阻 止 侦 察 活 动 并 阻 止 攻 击 的 进 行 。 要 了 解 有 关 基 于 行 为 的 阻 止 和 遏 制 的 更 多 信 息 ， 请 阅 读 以 下 博 客 文 章 ： 在 难 以 捉 摸 的 威 胁 的 紧 追 中 ： 基 于 A I 的 基 于 行 为 的 阻 止 阻 止 了 攻 击 的 轨 迹 h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 1 9 / 1 0 / 0 8 / i n - h o t - p u r s u i t - o f - e l u s i v e - t h r e a t s - a i - d r i v e n - b e h a v i o r - b a s e d - b l o c k i n g - s t o p s - a t t a c k s - i n - t h e i r - t r a c k s / B e h a v i o r a l   b l o c k i n g   a n d   c o n t a i n m e n t :   T r a n s f o r m i n g   o p t i c s   i n t o   p r o t e c t i o n h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 0 / 0 3 / 0 9 / b e h a v i o r a l - b l o c k i n g - a n d - c o n t a i n m e n t - t r a n s f o r m i n g - o p t i c s - i n t o - p r o t e c t i o n /
微 软 D e f e n d e r   A T P 研 究 团 队 ： A n k i t   G a r g   a n d   G e o f f   M c D o n a l d 参 考 链 接 1 .   R y u k 等 勒 索 软 件   h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 0 / 0 3 / 0 5 / h u m a n - o p e r a t e d - r a n s o m w a r e - a t t a c k s - a - p r e v e n t a b l e - d i s a s t e r / 2 .   反 恶 意 软 件 扫 描 接 口 （ A M S I ） h t t p s : / / d o c s . m i c r o s o f t . c o m / w i n d o w s / d e s k t o p / a m s i / a n t i m a l w a r e - s c a n - i n t e r f a c e - p o r t a l 3 .   O f f i c e   3 6 5   V B A     h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 1 8 / 0 9 / 1 2 / o f f i c e - v b a - a m s i - p a r t i n g - t h e - v e i l - o n - m a l i c i o u s - m a c r o s / 4 .   跨 域 攻 击 链     h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / 2 0 2 0 / 0 7 / 2 9 / i n s i d e - m i c r o s o f t - t h r e a t - p r o t e c t i o n - s o l v i n g - c r o s s - d o m a i n - s e c u r i t y - i n c i d e n t s - t h r o u g h - t h e - p o w e r - o f - c o r r e l a t i o n - a n a l y t i c s / 5 .   S h a r p H o u n d   h t t p s : / / g i t h u b . c o m / B l o o d H o u n d A D / S h a r p H o u n d 3 6 .   无 文 件 落 地 S h a r p H o u n d . p s 1     h t t p s : / / g i t h u b . c o m / B l o o d H o u n d A D / B l o o d H o u n d / b l o b / m a s t e r / I n g e s t o r s / S h a r p H o u n d . p s 1 7 .   P o w e r S p l o i t     h t t p s : / / p o w e r s p l o i t . r e a d t h e d o c s . i o / e n / l a t e s t / R e c o n / I n v o k e - K e r b e r o a s t / 8 .   E m p i r e     h t t p s : / / g i t h u b . c o m / E m p i r e P r o j e c t / E m p i r e / b l o b / m a s t e r / d a t a / m o d u l e _ s o u r c e / c r e d e n t i a l s / I n v o k e - K e r b e r o a s t . p s 1 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理