搜索

[17185] 2021-08-24_OODA：一个提高检测速度与准确度的战术

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2021-08-24_OODA：一个提高检测速度与准确度的战术 O O D A ： 一 个 提 高 检 测 速 度 与 准 确 度 的 战 术 A v e n g e r   F r e e B u f   2 0 2 1 - 0 8 - 2 4 本 文 通 过 模 拟 恶 意 软 件 使 用 M i c r o s o f t   S y s i n t e r n a l s 工 具 P s E x e c 进 行 横 向 移 动 、 主 机 与 网 络 侦 察 ， 展 示 如 何 使 用   O O D A 循 环 帮 助 提 高 检 测 速 度 与 准 确 性 。 对 于 没 有 了 解 过   O O D A   的 人 来 说 ， 可 以 将 其 认 为 是 一 个 战 略 军 事 概 念 。 O O D A   建 议 使 用 者 比 攻 击 者 更 快 地 经 历 以 下 四 个 阶 段 来 赢 得 胜 利 ： 观 察 （ O b s e r v e ） 、 判 断 （ O r i e n t ） 、 决 策 （ D e c i d e ） 、 行 动 （ A c t ） 。 观 察 阶 段 观 察 阶 段 某 天 下 午 ， 端 点 触 发 了 用 于 查 找 重 命 名   P s E x e c   实 例 检 测 用 例 。 因 为 观 测 到 过 许 多 攻 击 者 将 工 具 重 命 名 以 逃 避 检 测 的 情 况 ， 所 以 我 们 的 检 测 团 队 开 发 了 该 检 测 用 例 。 P s E x e c   存 在 许 多 合 法 的 用 法 ， 但 合 法 工 具 会 被 攻 击 者 滥 用 ， P s E x e c   已 经 成 为 攻 击 者 进 行 横 向 移 动 时 的 首 选 工 具 。 首 先 观 察 到 以 下 攻 击 事 件 ： 看 起 来 用 户 已 经 从   D o w n l o a d s   文 件 夹 执 行 了   P s E x e c   的 重 命 名 文 件 ， 该 操 作 尝 试 在 另 一 台 计 算 机 上 启 动 远 程   S h e l l 。 继 续 排 查 时 间 线 时 ， 我 们 发 现 用 户 桌 面 启 动 了 另 一 个 高 度 可 疑 的 批 处 理 脚 本 。 恶 意 软 件 可 以 将 二 进 制 文 件 释 放 到 磁 盘 上 ， 或 者 无 文 件 利 用 命 令 快 速 地 进 行 横 向 移 动 。 此 时 的 情 况 是 ， 恶 意 软 件 释 放 了   P s E x e c   的 副 本 文 件 ， 滥 用 合 法 工 具 。 通 过 网 络 数 据 狩 猎   P s E x e c   是 很 困 难 的 ， 找 到 其 真 实 意 图 的 唯 一 方 法 是 查 看 其 在 目 标 设 备 上 执 行 了 哪 些 命 令 以 及 什 么 释 放 了   P s E x e c 。 即 使 有 端 点 数 据 ， 也 需 要 更 广 泛 地 上 下 文 信 息 来 分 析 原 始 意 图 。 判 断 阶 段 判 断 阶 段 我 们 已 经 知 道 在 另 一 个 系 统 中 尝 试 启 动 了 远 程   S h e l l ， 下 一 个 问 题 是 文 件 从 何 而 来 ？ 我 们 注 意 到 启 动   P s E x e c   的 同 一 个 批 处 理 脚 本 也 进 行 了 对 域 和 网 络 的 侦 察 。 让 我 们 看 一 下 已 经 写 入 的 注 册 表 键 值 ， 通 过 失 陷 主 机 上 的   r e g . e x e   执 行 ： 根 据 这 些 执 行 的 命 令 可 以 对 检 测 提 出 几 个 问 题 ： 这 些 命 令 通 常 在 该 环 境 下 会 被 执 行 吗 ？ 程 序   r e g . e x e   执 行 的 次 数 ？ 该 环 境 下 什 么 文 件 会 产 生   r e g   q u e r y   命 令 ？ 这 些 端 点 上 运 行 了   S o p h o s   吗 ？ 网 络 侦 察 网 络 侦 察 在   P s E x e c   启 动 前 ， 该 恶 意 软 件 会 通 过 释 放 已 重 命 名 为   d . e x e   的 合 法   W i n d o w s   文 件 来 获 取 主 机 与 账 户 信 息 。 该 工 具 正 常 情 况 下 叫   c s v d e . e x e ， 会 在 安 装 有   A c t i v e   D i r e c t o r y   L i g h t w e i g h t   D i r e c t o r y 服 务 的   W i n d o w s   服 务 器 上 出 现 。 主 要 用 途 是 通 过   C S V   格 式 导 入 导 出 活 动 目 录 信 息 。 恶 意 软 件 利 用 这 个 工 具 从 活 动 目 录 中 提 取 所 有 主 机 信 息 ， 利 用 其 中 提 供 的 信 息 可 以 遍 历 每 台 计 算 机 测 试 访 问 权 限 。 恶 意 软 件 释 放 的 另 一 个 文 件 是   h o s t 2 i p 4 5 . e x e ， 该 文 件 检 查 主 机 是 否 存 活 。 根 据 文 件 名 ， 该 恶 意 软 件 能 够 快 速 找 到 下 一 个 目 标 。 R E G   Q U E R Y   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n "   / v   P r o d u c t N a m e R E G   Q U E R Y   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l I E D a t a "
现 在 该 恶 意 软 件 掌 握 了 从   h o s t 2 i p 4 5 . e x e   得 到 的 主 机 与   I P   地 址 信 息 。 随 后 通 过 开 放 、 可 写 的 网 络 共 享 查 找 简 单 的 路 由 。 使 用   c o p y   命 令 测 试 每 台 主 机 都 具 有 可 访 问 的 网 络 共 享 权 限 。 最 后 ， 该 恶 意 软 件 下 载 了 另 一 个 文 件 ， 该 文 件 针 对 域 控 制 器 对 网 络 账 户 进 行 爆 破 。 该 二 进 制 文 件 的 元 数 据 暗 示 其 使 用   n e t   命 令 进 行 密 码 爆 破 ： 该 恶 意 软 件 尝 试 使 用 常 用 密 码 映 射 到 域 控 制 器 的 驱 动 器 。 下 图 显 示 了 一 些 爆 破 的 命 令 行 参 数 ：
主 机 侦 察 主 机 侦 察 最 初 的 批 处 理 脚 本 不 仅 针 对 网 络 进 行 侦 察 ， 还 在 主 机 上 查 找 与 金 融 和 社 交 网 站 有 关 的 字 符 串 ， 这 是 与 信 息 窃 密 相 关 的 常 见 手 段 。 该 恶 意 软 件 使 用   W i n d o w s   中 的   f i n d s t r   命 令 来 查 找 包 含 特 定 字 符 串 的 文 件 名 ， 如   p a y s u r f e r 、 p a y p a l   与   c o i n b a s e ： 决 策 与 行 动 阶 段 决 策 与 行 动 阶 段 我 们 已 经 非 常 确 定 这 一 行 为 是 违 规 的 恶 意 行 为 ， 快 速 的 告 警 可 以 通 知 客 户 尽 快 进 行 应 急 处 理 。 威 胁 检 测 团 队 依 据 观 测 数 据 撰 写 并 发 布 了 检 测 结 果 ， 事 件 处 理 团 队 根 据 客 户 的 事 件 响 应 手 册 帮 助 协 调 了 补 救 措 施 。 重 复 循 环 以 提 高 速 度 与 准 确 性 重 复 循 环 以 提 高 速 度 与 准 确 性 威 胁 检 测 团 队 会 根 据 速 度 与 准 确 性 对 检 测 报 告 进 行 评 估 ， 后 续 研 究 是 否 可 以 更 快 地 检 测 该 攻 击 行 动 ， 为 接 下 来 的 改 进 提 供 帮 助 。 比 如 开 发 自 动 检 测 用 例 ， 帮 助 处 理 大 量 数 据 并 快 速 发 现 威 胁 。 对 于 这 种 恶 意 软 件 感 染 ， 仍 然 使 用   O O D A   循 环 处 理 检 测 用 例 的 过 程 。 观 察 阶 段 观 察 阶 段 就 自 动 化 与 侦 察 技 术 而 言 ， 该 恶 意 软 件 非 常 强 大 ， 仅 在 本 次 感 染 中 就 表 现 出 包 括 横 向 移 动 、 主 机 侦 察 与 网 络 侦 察 。 对 于 每 个 阶 段 都 可 以 评 估 是 否 可 以 构 造 新 的 检 测 用 例 。 判 断 阶 段 判 断 阶 段 从 蓝 队 的 视 角 看 ， 构 造 高 度 准 确 的 检 测 用 例 是 很 难 的 。 如 果 其 检 测 面 很 窄 ， 就 可 能 会 错 过 恶 意 行 为 。 如 果 检 测 面 过 宽 ， 就 会 显 著 增 加 噪 声 。 但 是 如 果 将 重 点 转 移 到 创 建 更 多 从 不 同 角 度 狩 猎 潜 在 威 胁 的 检 测 用 例 ， 也 许 就 能 够 平 衡 该 风 险 。 通 过 该 方 法 ， 我 们 注 意 到 了 一 些 可 行 的 新 式 检 测 技 术 。 以 重 命 名 技 术 为 例 ， 查 看 执 行 链 的 独 特 性 非 常 有 价 值 。 当 然 ， 在 不 是   W i n d o w s   服 务 器 上 执 行   c s v d e . e x e   确 实 就 非 常 罕 见 ， 尤 其 是 对 于 非 管 理 员 用 户 。 另 一 个 是 进 行 静 态 分 析 ， 如   C a r b o n   B l a c k   在 本 例 中 捕 获 的 元 数 据 ： 这 种 恶 意 软 件 感 染 是 由 重 命 名 检 测 用 例 发 现 的 ， 另 一 个 寻 找 重 命 名 的 检 测 用 例 也 可 能 会 提 供 有 价 值 的 数 据 。 一 种 选 择 是 检 查 内 部 名 称 是 否 等 于   l d i f l d a p . l i b 、 进 程 名 是 否 不 等 于 常 规 进 程 名 c s v d e . e x e 。
决 策 阶 段 决 策 阶 段 这 个 新 的 检 测 用 例 看 起 来 很 有 用 ， 服 务 器 管 理 员 在 日 常 操 作 中 会 重 命 名   W i n d o w s   文 件 吗 ？ 我 们 的 判 断 是 就 像 重 命 名   P s E x e c   一 样 ， 几 乎 永 远 不 会 发 生 。 快 速 搜 索 端 点 数 据 帮 助 我 们 确 定 这 个 检 测 用 例 是 否 可 行 。 例 如   就 能 证 明 存 在 该 类 感 染 。 行 动 阶 段 行 动 阶 段 这 在 我 们 所 有 的 客 户 中 都 取 得 了 不 错 的 效 果 ， 对 于 新 检 测 用 例 ， 这 听 起 来 确 实 不 错 。 但 部 署 新 检 测 用 例 之 前 ， 仍 然 需 要 典 型 的 开 发 与 测 试 过 程 。 进 入 平 台 的 最 终 检 测 用 例 如 下 所 示 ： 防 御 的 要 诀 防 御 的 要 诀 防 御 者 一 直 在 寻 找 更 好 的 、 更 新 的 、 更 简 单 的 、 更 强 大 的 检 测 技 术 ， 其 实 最 重 要 的 是 花 时 间 确 保 最 大 程 度 地 利 用 已 有 工 具 、 人 员 和 技 术 。 重 新 收 集 这 类 信 息 进 行 分 析 ， 不 让 它 们 闲 置 在 角 落 ， 防 御 者 应 该 时 刻 保 持 警 惕 性 。 参 考 来 源 参 考 来 源 R e d C a n a r y 精 彩 推 荐 精 彩 推 荐 ( i n t e r n a l _ n a m e : l d i f l d a p . l i b   O R   i n t e r n a l _ n a m e :   c s v d e . e x e )   A N D   - p r o c e s s _ n a m e : c s v d e . e x e d e t e c t s   d o w i n d o w s ?   & & p r o c e s s _ n a m e ?   & & p r o c e s s _ n a m e _ n o t _ e q u a l _ t o ? ( [ ' c s v d e . e x e ' ] )   & & (   i n t e r n a l _ n a m e _ d o w n c a s e d   = =   ' l d i f l d a p . l i b '   | | i n t e r n a l _ n a m e _ d o w n c a s e d   = =   ' c s v d e . e x e '   )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理