搜索

[10103] 2016-05-15_如何在网络中追踪入侵者（三）：主机追踪

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-18
2016-05-15_如何在网络中追踪入侵者（三）：主机追踪 如 何 在 网 络 中 追 踪 入 侵 者 （ 三 ） ： 主 机 追 踪 老 王 隔 壁 的 白 帽 子   F r e e B u f   2 0 1 6 - 0 5 - 1 5 在 之 前 的 文 章 中 ， 我 们 专 注 于 追 踪 和 分 析 从 网 络 中 得 到 的 数 据 。 但 事 实 上 ， 在 网 络 中 追 踪 不 是 唯 一 的 选 项 。 在 企 业 的 主 机 和 服 务 器 上 有 大 量 的 数 据 集 来 发 掘 未 知 的 恶 意 行 为 ， 包 括 运 行 的 进 程 ， 活 动 的 网 络 连 接 ， 监 听 端 口 ， 文 件 系 统 遗 留 ， 用 户 日 志 ， 自 动 运 行 等 等 。   而 这 些 数 据 ， 难 点 只 在 于 决 定 关 注 哪 些 点 来 开 始 你 的 追 踪 进 程 。 一 旦 你 决 定 关 注 的 领 域 ， 你 可 以 收 集 数 据 ， 查 找 可 疑 的 异 常 ， 然 后 做 进 一 步 调 查 。 在 这 个 系 列 的 最 后 一 部 分 ， 我 们 将 会 描 述 利 用 免 费 工 具 在 主 机 上 进 行 追 踪 的 一 些 要 点 。 这 些 技 术 首 先 会 帮 你 发 现 主 机 上 恶 意 行 为 的 一 些 线 索 — — 不 管 你 有 没 有 签 名 或 者 I O C 。 你 可 以 自 由 的 使 用 这 些 ， 同 时 感 受 追 踪 的 强 大 功 能 。 搜 索 指 标 搜 索 指 标 一 个 通 用 的 起 始 点 是 在 你 的 主 机 上 搜 索 I O C 。 虽 然 许 多 人 认 为 这 是 追 踪 ， 但 这 仅 仅 是 搜 索 。 不 仅 仅 是 搜 索 ， 但 是 为 了 快 速 和 多 变 的 指 标 进 行 搜 索 。   事 实 上 ， 由 于 对 手 行 为 趋 势 I O C 的 有 效 生 命 周 期 不 断 下 降 。 大 部 分 安 全 专 业 人 员 都 知 道 这 些 ， 并 且 在   V e r i z o n ’ s   D B I R   上 周 的 发 布 上 强 调 。 也 就 是 说 ， 在 你 的 系 统 上 搜 索 已 知 的 I O C 仍 然 是 必 要 的 ， 这 仍 然 是 常 用 的 步 骤 。 下 面 是 几 个 网 站 公 布 的 几 种 格 式 的 威 胁 情 报 信 息 。   你 的 主 机 上 一 个 扩 展 性 更 好 的 常 用 I O C 是 写 得 好 的 Y a r a 签 名 。   Y a r a 用 二 进 制 模 式 和 序 列 来 检 测 和 分 类 你 系 统 上 的 恶 意 程 序 。 Y a r a 和 G r e p 很 像 ， 都 采 用 了 一 系 列 已 知 的 模 式 然 后 进 行 搜 索 匹 配 。 但 是 Y a r a 做 得 更 多 ， 在 文 件 ， 硬 盘 和 内 存 中 搜 索 二 进 制 模 式 。 一 个 好 的 病 毒 分 析 师 能 够 手 写 Y a r a 签 名 来 检 测 恶 意 软 件 的 拷 贝 和 变 种 ， 新 的 版 本 ， 甚 至 通 过 一 个 二 进 制 模 式 来 找 到 相 同 家 族 的 恶 意 软 件 。 基 于 这 些 原 因 ， Y a r a 是 识 别 恶 意 软 件 最 著 名 的 开 源 工 具 之 一 ， 并 且 是 免 费 的 。 Y a r a Y a r a 规 则 是 基 于 二 进 制 序 列 或 文 本 对 已 知 恶 意 软 件 模 式 进 行 结 构 化 的 一 个 很 好 的 方 法 。 下 面 是 用 来 检 测 M i m i k a t z （ 攻 击 者 从 内 存 中 提 取 w i n d o w s 认 证 信 息 的 工 具 ） 病 毒 的 Y a r a 签 名 的 一 个 片 段 。 这 个 特 殊 的 签 名 其 实 是   M i m i k a t z 工 具 的 作 者 编 写 的 。
你 可 以 在 本 地 运 行 Y a r a ， 但 是 如 果 在 远 程 或 者 多 台 机 器 上 运 行 功 能 会 更 强 大 。 P o w e r s h e l l 能 够 让 操 作 更 方 便 。 利 用 P o w e r s h e l l 运 行 Y a r a 可 以 通 过 下 面 这 几 个 简 单 的 步 骤 ， 假 设 你 已 经 有 登 录 凭 证 并 且   P o w e r s h e l l 已 经 远 程 开 放 了 。 将 Y a r a 二 进 制 传 到 目 标 机 器 上   w /   原 生 w i n d o w s 功 能 P S >   c o p y   y a r a . e x e   T A R G E T - H O S T C $ T E M P y a r a . e x e 规 则 传 输 P S >   c o p y   r u l e s . y a r a   T A R G E T - H O S T C $ T E M P r u l e s . y a r a 执 行 扫 描 w / 反 弹 命 令 P S >   I n v o k e - C o m m a n d   - C o m p u t e r N a m e   T A R G E T   - S c r i p t B l o c k   {   c : T E M P y a r a . e x e   c : T E M P r u l e s . y a r a   c : t a r g e t d i r   }   - c r e d e n t i a l   U S E R 这 会 对 运 行 一 组 Y a r a 规 则 产 生 影 响 （ 上 面 例 子 中 的 r u l e s . y a r a ） 在 给 定 的 目 录 （ 上 面 例 子 中 的 c : t a r g e t d i r ） 。 这 样 就 可 以 搜 索 很 多 主 机 的 硬 盘 来 标 识 提 取 出 匹 配 二 进 制 签 名 的 文 件 。 这 很 强 大 ， 但 并 非 没 有 缺 点 。 正 如 我 们 知 道 的 ， 签 名 很 容 易 失 效 。 不 单 单 是 因 为 Y a r a 签 名 写 得 不 好 导 致 的 误 报 ， 并 且 由 于 恶 意 软 件 变 种 很 快 ， 规 则 需 要 经 常 更 新 不 然 就 会 失 效 。 这 非 常 消 耗 时 间 和 资 源 。 然 而 ， 跟 在 I O C 中 搜 索 h a s h 值 ， 文 件 名 ， 或 者 一 些 通 用 的 标 识 相 比 ， 使 用 Y a r a 要 强 大 的 多 。 无 情 报 追 踪 无 情 报 追 踪 即 使 你 有 I O C 作 为 入 口 点 ， I O C 不 足 以 发 现 你 的 企 业 中 的 所 有 可 能 的 恶 意 行 为 。 现 在 就 轮 到 追 踪 登 场 了 。 追 踪 是 对 未 知 威 胁 进 行 系 统 的 主 动 的 追 击 。 这 需 要 在 你 的 数 据 中 标 识 模 式 和 疑 点 来 找 到 你 网 络 中 可 能 的 恶 意 程 序 。 正 如 前 面 所 述 ， 主 机 上 有 许 多 可 以 追 踪 的 点 。 我 们 建 议 从 自 动 运 行 的 程 序 开 始 。 攻 击 者 通 常 需 要 在 你 重 启 之 后 持 续 潜 伏 在 系 统 中 。 这 样 做 可 以 长 期 在 网 络 中 隐 藏 。   自 启 动 项 是 一 个 很 好 的 查 找 异 常 和 疑 点 的 地 方 ， 由 于 以 下 几 个 原 因 。 通 过 网 络 的 异 常 值 分 析 来 看 ， 自 启 动 项 往 往 是 一 致 的 。 出 现 的 自 启 动 项 中 只 有 一 小 部 分 是 恶 意 的 ， 所 以 从 需 要 分 析 的 地 方 把 它 找 出 来 很 难 。 另 外 ， 为 了 长 期 运 行 ， 需 要 释 放 文 件 到 硬 盘 中 。 有 些 行 为 很 明 显 是 可 疑 的   - 比 如 在 % T E M P % 文 件 夹 外 执 行 了 奇 怪 的 文 件 名 。 在 许 多 环 境 下 ， 恶 意 自 动 运 行 的 软 件 很 突 出 很 容 易 被 好 的 追 踪 器 检 测 到 。 一 旦 恶 意 运 行 被 检 测 到 ， 进 一 步 的 分 析 会 着 手 进 行 确 认 和 处 理 。 收 集 自 动 运 行 程 序 收 集 自 动 运 行 程 序
在 现 代 的 操 作 系 统 中 ， 有 上 百 个 攻 击 者 可 能 隐 藏 的 地 方 。 这 些 包 括 启 动 注 册 表 ， 服 务 ， 驱 动 ， 浏 览 器 ， O f f i c e 扩 展 ， 很 其 他 更 少 人 知 道 的 地 方 和 方 法 。 除 了 大 量 的 位 置 ， 抓 取 到 的 数 据 对 于 分 析 也 很 有 意 义 ， 因 为 操 作 系 统 格 式 化 数 据 的 方 式 。 S y s i n t e r n a l s   （ 由 微 软 维 护 ） 创 建 了 一 个 叫   A u t o r u n s 的 工 具 来 处 理 这 个 问 题 ， 免 费 的 。 虽 然 不 完 美 ， 这 个 工 具 在 w i n d o w s 系 统 上 从 自 启 动 项 提 取 数 据 已 经 做 的 很 好 了 ， 并 取 得 h a s h 值 ， 允 许 一 些 基 本 的 处 理 （ 比 如 上 传 到 V i r u s T o t a l         ） 。 我 们 推 荐 结 合 P o w e r s h e l l   和 a u t o r u n s 的 命 令 行 来 使 用 ， 这 样 可 以 远 程 从 你 的 系 统 抓 取 数 据 。 这 些 可 以 通 过 以 下 几 个 步 骤 完 成 ： 将 自 动 运 行 的 二 进 制 和 m s v c r 1 0 0 . D L L 传 到 目 标 主 机   w / 原 生 w i n d o w s 函 数 P S >   c o p y   a u t o r u n s c . e x e   T A R G E T - H O S T C $ T E M P a u t o r u n s c . e x e P S >   c o p y   m s v c r 1 0 0 . d l l   T A R G E T - H O S T C $ T E M P m s v c r 1 0 0 . d l l 执 行 w /   反 弹 命 令 （ w / 输 出 选 项 ） P S >   I n v o k e - C o m m a n d   - C o m p u t e r N a m e   T A R G E T   - S c r i p t B l o c k   {   c : T E M P a u t o r u n s c . e x e   – a   ( ? ? )   – h   ( > >   c : T E M P a u t o r u n s - o u t p u t . t x t )   }   - c r e d e n t i a l   U S E R 收 集 输 出 P S >   c o p y   T A R G E T - H O S T C $ T E M P a u t o r u n s - o u t p u t . t x t   c : d i r e c t o r y 正 如 之 前 ， 这 样 可 以 通 过 网 络 来 获 取 许 多 系 统 上 的 数 据 。 数 据 分 析 数 据 分 析 我 们 推 荐 你 先 把 自 启 动 项 的 h a s h 值 上 传 到 V i r u s T o t a l   。 可 以 知 道 这 是 不 是 一 个 恶 意 软 件 ， 然 后 你 可 以 有 针 对 性 的 分 析 。 幸 运 的 是 ，   S y s i n t e r n a l s 可 以 帮 你 完 成 这 些 ， 或 者 你 可 以 用 V i r u s T o t a l   的 A P I 写 一 些 东 西 。 所 以 你 已 经 收 集 到 了 所 有 的 自 启 动 项 并 且 判 断 哪 些 是 恶 意 软 件 。 这 是 一 个 很 好 的 开 始 ， 但 是 还 不 够 。 你 需 要 追 踪 未 知 的 恶 意 软 件 并 且 在 数 据 中 找 到 异 常 。 这 里 有 好 多 方 法 可 以 实 现 ， 但 是 我 们 推 荐 h a s h 的 第 一 个 栈 ， 然 后 查 找 数 据 中 不 匹 配 一 般 族 群 的 异 常 。 先 取 得 自 启 动 项   的 h a s h 值 ， 然 后 以 这 样 的 格 式 列 出 H O S T ： H A S H 。 下 面 提 供 了 一 个 具 体 的 例 子 ， 看 起 来 大 概 是 这 样 的 （ 在 真 实 的 环 境 中 你 可 能 会 有 更 多 的 自 启 动 项 。 ）   一 个 简 单 的 步 骤 是 用 冒 号 （ ： ） 来 描 述 输 出
#   c a t   h a s h - m a p . t x t   |   c u t   - d ’ : ’ - f 2   >   h a s h e s . t x t 然 后 在 你 的 系 统 上 进 行 归 纳 和 排 序 来 快 速 识 别 异 常 。 在 这 个 例 子 中 ， 我 有 4 2 个 系 统 。 每 个 系 统 上 都 出 现 许 多 自 启 动 项 。 几 只 出 现 在 一 个 上 。 这 个 异 常 是 很 可 疑 的 。 最 合 理 的 步 骤 是 先 看 看 那 个 主 机 上 自 动 运 行 输 出 的 细 节 。 你 会 看 到 奇 怪 的 描 述 ， 奇 怪 的 文 件 名 ， 奇 怪 的 自 动 运 行 位 置 ， 以 及 更 多 的 信 息 。 下 面 的 例 子 展 示 了   “ s v c c h o s t . e x e ” 在 开 机 的 时 候 从 C : W I N D O W S t e m p 目 录 启 动 。 下 一 个 例 子 展 示 了 一 个 程 序 在 启 动 的 时 候 从 回 收 站 执 行 ， 只 有 单 字 符 的 文 件 名 ， 很 清 楚 的 显 示 一 些 奇 怪 的 东 西 在 执 行 。 这 里 你 不 仅 仅 可 以 从 自 动 运 行 数 据 获 取 可 疑 的 信 息 。 还 有 很 多 方 法 。 你 可 以 进 行 进 一 步 的 研 究 ， 比 如 在 E l a s t i c s e a r c h   （ 另 一 个 免 费 工 具 ） 中 建 立 数 据 索 引 ， 定 期 从 你 的 终 端 收 集 自 动 运 行 信 息 ， 查 看 自 动 运 行 的 变 化 ， 搜 索 相 关 的 数 据 。 当 然 ， 还 有 很 多 的 终 端 线 索 可 以 用 于 追 踪 。 一 个 好 的 追 踪 器 需 要 覆 盖 日 志 ， 进 程 ， 网 络 信 息 ， 以 及 其 他 。    
总 结 总 结 通 过 这 个 系 列 的 三 篇 文 章 ， 我 们 提 供 了 使 用 免 费 软 件 在 主 机 上 和 网 络 上 进 程 进 行 追 踪 的 几 种 方 法 。 追 踪 技 术 不 依 赖 于 时 刻 变 化 的 签 名 和 I O C ， 因 此 提 供 方 法 来 更 好 的 匹 配 复 杂 的 模 型 和 攻 击 技 术 。 每 个 组 织 和 研 究 者 可 以 开 始 主 动 的 检 测 网 络 中 未 知 的 威 胁 。 从 被 动 D N S 到 自 动 运 行 ， 我 们 已 经 覆 盖 了 很 多 方 面 并 且 描 述 了 多 种 免 费 而 强 大 的 方 法 来 在 主 机 和 网 络 上 追 踪 。 * 参 考 来 源 ： e n d g a m e   ， F B 小 编 老 王 隔 壁 的 白 帽 子 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理