搜索

[12108] 2017-12-09_如何利用日志来监控和限制PowerShell攻击活动

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-12-09_如何利用日志来监控和限制PowerShell攻击活动 如 何 利 用 日 志 来 监 控 和 限 制 P o w e r S h e l l 攻 击 活 动 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 2 - 0 9 写 在 前 面 的 话 写 在 前 面 的 话 近 期 ， 我 一 直 在 我 客 户 的 网 络 环 境 中 分 析 近 期 ， 我 一 直 在 我 客 户 的 网 络 环 境 中 分 析 P o w e r S h e l l 攻 击 ， 根 据 我 的 分 析 以 及 研 究 结 果 ， 我 发 现 了 几 种 方 法 来 攻 击 ， 根 据 我 的 分 析 以 及 研 究 结 果 ， 我 发 现 了 几 种 方 法 来 帮 助 研 究 人 员 检 测 潜 在 的 帮 助 研 究 人 员 检 测 潜 在 的 P o w e r S h e l l 攻 击 。 这 种 方 法 主 要 利 用 的 是 攻 击 。 这 种 方 法 主 要 利 用 的 是 W i n d o w s 的 事 件 日 志 ， 首 先 我 们 需 要 了 解 攻 的 事 件 日 志 ， 首 先 我 们 需 要 了 解 攻 击 者 是 如 何 使 用 击 者 是 如 何 使 用 P o w e r S h e l l 来 实 施 攻 击 的 ， 然 后 我 们 再 来 看 一 看 相 关 的 检 测 和 防 御 机 制 。 来 实 施 攻 击 的 ， 然 后 我 们 再 来 看 一 看 相 关 的 检 测 和 防 御 机 制 。 P o w e r S h e l l 如 何 被 用 于 网 络 攻 击 之 中 如 何 被 用 于 网 络 攻 击 之 中 P o w e r S h e l l 的 能 力 大 家 有 目 共 睹 ， 近 期 也 有 越 来 越 多 的 攻 击 者 开 始 在 攻 击 活 动 中 使 用 P o w e r S h e l l 了 。 P o w e r S h e l l 是 W i n d o w s 操 作 系 统 自 带 的 工 具 ， 因 此 目 标 W i n d o w s 用 户 的 主 机 中 自 然 也 就 包 含 了 这 种 工 具 。 在 我 们 所 观 察 到 的 攻 击 活 动 中 ， P o w e r S h e l l 一 般 会 被 攻 击 者 用 来 下 载 恶 意 文 件 。 攻 击 者 可 以 利 用 P o w e r S h e l l 将 远 程 服 务 器 中 托 管 的 恶 意 文 件 下 载 至 目 标 用 户 的 设 备 之 中 。 不 仅 如 此 ， 他 们 甚 至 还 可 以 使 用 类 似 S t a r t - P o r c e s s 、 I n v o k e - I t e m 或 I n v o k e - E x p r e s s i o n   ( - I E X ) 的 命 令 直 接 将 远 程 文 件 的 恶 意 内 容 下 载 至 目 标 设 备 的 内 存 中 ， 并 直 接 在 内 存 中 运 行 。 在 真 实 攻 击 场 景 下 ， S y s t e m . n e t . W e b c l i e n t 中 下 面 的 这 两 种 方 法 使 用 频 率 比 较 高 ： − ( N e w - o b j e c t   S y s t e m . n e t . w e b c l i e n t ) . D o w n l o d F i l e ( ) − ( N e w - o b j e c t   S y s t e m . n e t . W e b c l i e n t ) . D o w n l o a d S t r i n g ( ) ( N e w - o b j e c t   S y s t e m . n e t . w e b c l i e n t ) . D o w n l o d F i l e ( ) 下 面 给 出 的 是 这 种 方 法 的 简 单 使 用 样 例 （ 可 使 用 类 似 X a m p p 等 软 件 搭 建 h t t p / h t t p s 服 务 器 来 检 测 该 方 法 的 功 能 ） ：
在 这 个 样 本 中 ， 恶 意 文 件 e v i l f i l e . t x t 会 下 载 到 目 标 设 备 的 磁 盘 中 , 并 通 过 调 用 环 境 变 量 $ A p p d a t a 将 该 文 件 存 储 在 路 径 C : U s e r s k i r t a r _ o z a A p p D a t a R o a m i n g 中 ， 然 后 使 用 “ I n v o k e - I t e m ” 命 令 执 行 该 文 件 。 下 面 给 出 的 是 真 实 场 景 中 的 攻 击 实 例 ： 在 这 个 样 例 中 ， 攻 击 者 使 用 了 . d o w n l o a d f i l e ( ) 方 法 来 下 载 恶 意 文 件 ， 并 使 用 环 境 变 量 将 其 存 储 在 了 用 户 的 A p p d a t a 目 录 中 ， 然 后 使 用 “ S t a r t - P r o c e s s ” 命 令 在 执 行 恶 意 代 码 。 除 此 之 外 ， 还 有 很 多 利 用 P o w e r S h e l l 来 下 载 并 调 用 恶 意 内 容 的 例 子 ： ( N e w - o b j e c t   S y s t e m . n e t . W e b c l i e n t ) . D o w n l o a d S t r i n g ( )
D o w n l o a d S t r i n g ( ) 方 法 不 会 在 目 标 磁 盘 中 下 载 任 何 的 文 件 ， 而 是 直 接 将 远 程 文 件 中 的 内 容 拷 贝 到 目 标 设 备 的 内 存 中 。 这 些 文 件 一 般 来 说 都 是 一 些 恶 意 脚 本 ， 并 且 能 够 使 用 P o w e r s h e l l   – C o m m a n d 参 数 在 内 存 中 直 接 执 行 。 这 项 技 术 在 很 多 所 谓 的 无 文 件 恶 意 软 件 攻 击 中 得 到 了 广 泛 使 用 ， 因 为 恶 意 脚 本 可 以 直 接 在 目 标 设 备 的 内 存 中 运 行 而 不 会 在 硬 盘 中 留 下 任 何 痕 迹 。 除 此 之 外 ， 这 种 技 术 还 可 以 绕 过 基 于 签 名 的 检 测 机 制 。 下 面 给 出 的 是 一 个 简 单 的 样 例 ： 其 中 ， c m d . j s 是 一 个 远 程 脚 本 ， 它 能 够 从 目 标 设 备 的 内 存 中 远 程 调 用 c a l c . e x e ， 整 个 过 程 不 会 在 硬 盘 中 留 下 任 何 痕 迹 。 下 面 给 出 的 真 实 场 景 中 的 攻 击 样 例 ： 在 这 个 样 例 中 同 时 使 用 了 D o w n l o a d S t r i n g ( ) 和 D o w n l o d F i l e ( ) 这 两 种 方 法 ， 其 中 的 D o w n l o a d S t r i n g ( ) 方 法 可 从 远 程 主 机 中 下 载 P H P 代 码 。 P o w e r S h e l l 可 增 强 攻 击 的 隐 蔽 性 可 增 强 攻 击 的 隐 蔽 性 攻 击 者 会 使 用 P o w e r S h e l l 所 提 供 的 各 种 参 数 选 项 来 尽 可 能 地 增 强 攻 击 活 动 的 隐 蔽 性 ， 下 面 给 出 的 是 一 些 在 攻 击 活 动 中 常 用 的 参 数 选 项 ， 我 们 可 以 用 这 些 信 息 来 构 建 我 们 的 入 侵 威 胁 指 标 （ I o C ） 列 表 ： – W i n d o w S t y l e   h i d d e n   /   - w   h i d d e n :   隐 藏 程 序 的 窗 口 – E x e c   B y p a s s :   绕 过 类 似 R e s t r i c t e d 之 类 的 程 序 执 行 策 略 – C o m m a n d   /   - c   :   利 用 P o w e r S h e l l 终 端 执 行 各 种 命 令 – E n c o d e d C o m m a n d   /   - e   /   - E n c :   在 命 令 行 中 传 递 编 码 后 的 参 数 – N o p   /   - N o p r o f i l e   :   忽 略 P r o f i l e 文 件 中 的 命 令 下 面 给 出 的 真 实 场 景 中 的 攻 击 样 例 ：
入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 接 下 来 我 们 一 起 看 一 看 相 关 的 入 侵 威 胁 指 标 ， 它 们 可 以 帮 助 我 们 在 各 种 环 境 中 检 测 可 疑 的 P o w e r S h e l l 活 动 。 观 察 P o w e r S h e l l 父 进 程 和 子 进 程 之 间 的 关 系 一 般 来 说 ， 当 我 们 从 开 始 菜 单 或 磁 盘 目 录 中 直 接 运 行 P o w e r S h e l l 的 话 ， 它 会 在 e x p l o r e r . e x e 进 程 下 运 行 。 你 可 以 使 用 进 程 管 理 器 等 工 具 来 查 看 父 进 程 和 子 进 程 之 间 的 关 系 ， 你 可 以 从 下 图 中 看 到 ， E x p l o r e r . e x e 是 P o w e r S h e l l . e x e 的 父 进 程 ： 但 是 在 大 多 数 P o w e r S h e l l 攻 击 中 ， P o w e r S h e l l 脚 本 或 命 令 会 通 过 命 令 行 进 程 执 行 。 因 此 ， 在 这 种 场 景 下 ， P o w e r S h e l l . e x e 的 父 进 程 将 会 是 c m d . e x e ： 所 以 说 ， 我 们 可 以 通 过 观 察 P o w e r S h e l l 父 进 程 和 子 进 程 之 间 的 关 系 来 作 为 我 们 的 I o C 。 除 此 之 外 ， 如 果 c m d . e x e 是 通 过 脚 本 来 生 成 的 ， 并 且 父 进 程 是   w i n w o r d . e x e 、 m s h t a . e x e 、 w s c r i p t . e x e 或 w u a p p . e x e 的 话 ， 那 么 脚 本 的 内 容 就 值 得 我 们 去 仔 细 检 查 了 。 因 此 ， 我 们 需 要 注 意 并 记 录 以 下 P o w e r S h e l l 进 程 ： - 由   w i n w o r d . e x e 生 成 的 P o w e r S h e l l 进 程 （ 父 进 程 是 w i n w o r d . e x e ） - 由 c m d . e x e 生 成 的 P o w e r S h e l l 进 程 （ 父 进 程 是 w i n w o r d . e x e ） ， 并 且 c m d . e x e 是 由 w i n w o r d . e x e 生 成 的 （ w i n w o r d . e x e 为 P o w e r S h e l l 的 祖 父 进 程 ） 。 - 由 m s h t a . e x e 、 w s c r i p t . e x e 、 w u a p p . e x e 或 t a s k i n g . e x e 生 成 的 P o w e r S h e l l 进 程 。 命 令 行 为 王 命 令 行 为 王 很 多 P o w e r S h e l l 攻 击 可 以 通 过 监 控 传 递 给 P o w e r S h e l l 进 程 的 命 令 行 参 数 来 进 行 检 测 。 比 如 说 ， 如 果 目 标 使 用 了 D o w n l o a d F i l e ( ) 方 法 ,   说 明 它 很 可 能 已 经 在 目 标 设 备 的 硬 盘 中 下 载 了 恶 意 文 件 ， 而 且 我 们 也 许 可 以 从 中 发 现 用 于 托 管 恶 意 文 件 的 远 程 服 务 器 。 根 据 这 些 信 息 ， 我 们 可 以 对 攻 击 活 动 的 行 为 以 及 影 响 进 行 更 加 深 入 的 分 析 。 W i n d o w s 的 安 全 事 件 日 志 如 何 帮 助 我 们 检 测 的 安 全 事 件 日 志 如 何 帮 助 我 们 检 测 P o w e r S h e l l 攻 击 攻 击 接 下 来 ， 我 们 一 起 看 看 W i n d o w s 的 事 件 日 志 如 何 帮 助 我 们 识 别 上 述 介 绍 的 I o C 。 通 过 启 用 并 记 录 下 这 些 事 件 的 E v e n t I D , 我 们 就 可 以 更 有 效 率 地 检 测 P o w e r S h e l l 攻 击 了 。 我 将 要 介 绍 的 是 W i n d o w s 安 全 事 件 I D   4 6 8 8 - 进 程 创 建 。 没 错 ， 它 确 实 会 生 成 大 量 的 事 件 记 录 ， 但 是 我 们 可 以 通 过 简 单 的 过 滤 来 记 录 并 监 控 我 们 所 感 兴 趣 的 事 件 。 默 认 情 况 下 ， 系 统 会 禁 用 掉 进 程 创 建 审 计 功 能 ， 所 以 我 们 首 先 要 使 用 G P O 来 开 启 这 个 功 能 。 相 关 功 能 介 绍 以 及 启 用 方 法 可 访 问 以 下 资 料 获 取 ： [ 阅 读 原 文 ] 事 件 I D   4 6 8 8 可 以 根 据 S I E M 生 成 的 警 报 信 息 来 给 我 们 提 供 三 条 关 键 信 息 ， 我 们 可 以 使 用 这 两 条 信 息 来 检 测 P o w e r S h e l l 攻 击 ：
1 .   创 建 了 哪 个 进 程 ； 2 .   进 程 创 建 时 传 递 了 哪 些 命 令 行 参 数 ； 3 .   父 进 程 信 息 ； 接 下 来 ， 我 将 会 用 一 个 S p l u n k 样 本 来 解 释 如 何 利 用 警 报 信 息 来 检 测 可 疑 的 P o w e r S h e l l 活 动 。 首 先 ， 我 们 需 要 捕 捉 到 P o w e r S h e l l 攻 击 互 动 ， 所 以 我 们 需 要 监 控 与 P o w e r S h e l l . e x e 进 程 创 建 相 关 的 事 件 。 一 般 来 说 ， 事 件 I D   4 6 8 8 的 内 容 如 下 所 示 ： 所 以 ， 我 们 需 要 使 用 下 列 搜 索 语 句 来 搜 索 这 些 事 件 信 息 ： 接 下 来 ， 我 们 需 要 检 查 P o w e r S h e l l 进 程 初 始 化 时 传 递 过 来 的 命 令 行 参 数 。 P r o c e s s _ C o m m a n d _ L i n e 中 包 含 了 传 递 给 新 创 建 进 程 （ 例 如 P o w e r S h e l l ） 的 命 令 行 参 数 信 息 ， 我 们 可 以 基 于 一 些 常 见 参 数 （ 例 如   – e ,   - E n c o d ,   - w i n d o w s t y l e   , B y p a s s   ,   - c   ,   - c o m m a n d ） 来 创 建 警 报 ： 除 此 之 外 ， 你 也 可 以 创 建 一 个 包 含 了 可 疑 命 令 行 参 数 的 输 入 查 询 列 表 来 配 置 和 查 询 警 报 信 息 。 从 W i n d o w s   1 0 和 W i n d o w s   S e r v e r   2 0 1 6 开 始 ， 微 软 在 事 件 I D   4 6 8 8 中 添 加 了 一 个 名 叫 “ C r e a t o r   P r o c e s s   N a m e ” 的 数 据 域 ， 其 中 包 含 了 父 进 程 信 息 。 而 我 们 就 可 以 利 用 这 个 新 添 加 的 数 据 域 （ 可 疑 父 进 程 ） 来 创 建 警 报 ：
总 结 总 结 对 于 网 络 管 理 员 来 说 ， 监 控 环 境 中 P o w e r S h e l l 的 执 行 其 实 是 非 常 重 要 的 ， 如 果 命 令 行 经 过 了 混 淆 处 理 ， 那 么 你 很 大 概 率 已 经 遇 到 了 网 络 攻 击 。 而 此 时 ， 我 们 就 需 要 记 录 事 件 I D   4 6 8 8 ， 然 后 过 滤 并 记 录 下 任 何 关 于 P o w e r S h e l l 进 程 创 建 的 活 动 以 及 传 递 给 P o w e r S h e l l 的 命 令 行 参 数 ， 并 以 此 来 检 测 可 疑 的 P o w e r S h e l l 攻 击 活 动 。 *   参 考 来 源 ： s e c u r i t y a f f a i r s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理