शिकार तकनीक और Prefetch फ़ाइलों का उपयोग करके हमलावरों की रणनीति

XP के बाद विंडोज पर ट्रेस फाइलें, या प्रीफैच फाइलें दिखाई दी हैं। तब से, उन्होंने डिजिटल फोरेंसिक और कंप्यूटर घटना प्रतिक्रिया विशेषज्ञों को सॉफ़्टवेयर लॉन्च के निशान खोजने में मदद की है, जिसमें मैलवेयर भी शामिल हैं। ओलेग स्कुलकिन , समूह-आईबी में कंप्यूटर फोरेंसिक के प्रमुख विशेषज्ञ, प्रीफैच फाइलों के साथ आप क्या पा सकते हैं और इसे कैसे करना है, इसके बारे में बात करते हैं।

Prefetch फाइलें % SystemRoot% \ Prefetch निर्देशिका में संग्रहीत की जाती हैं और प्रोग्राम लॉन्च करने की प्रक्रिया को गति देने के लिए उपयोग की जाती हैं। यदि हम इनमें से किसी भी फाइल को देखते हैं, तो हम देखेंगे कि इसके नाम में दो भाग हैं: निष्पादन योग्य फ़ाइल का नाम और पथ से चेकसम, आठ वर्णों से मिलकर।

प्रीफ़ैच फ़ाइलों में फोरेंसिक दृष्टिकोण से उपयोगी बहुत सारी जानकारी होती है: निष्पादन योग्य फ़ाइल का नाम, प्रारंभ की संख्या, फ़ाइलों और निर्देशिकाओं की सूची, जिसके साथ निष्पादन योग्य फ़ाइल ने बातचीत की, और निश्चित रूप से टाइमस्टैम्प। आमतौर पर, फोरेंसिक कार्यक्रम शुरू होने की तारीख निर्धारित करने के लिए एक विशेष प्रीफ़ेक फ़ाइल की निर्माण तिथि का उपयोग करते हैं। इसके अलावा, ये फ़ाइलें इसके अंतिम लॉन्च की तारीख को संग्रहीत करती हैं, और 26 संस्करण (विंडोज 8.1) के साथ शुरू होती हैं, जो पिछले लॉन्च की टाइमस्टैम्प हैं।

आइए Prefetch फ़ाइलों में से एक को लें, इसमें से डेटा को एरिक ज़िमरमैन के PECmd का उपयोग करके निकालें और प्रत्येक भाग को देखें। प्रदर्शन के लिए, मैं CCLEANER64.EXE-DE05DBE1.pf फ़ाइल से डेटा निकालूंगा ।

तो, चलो ऊपर से शुरू करते हैं। बेशक, हमारे पास फ़ाइल बनाने, संशोधित करने और उस तक पहुंचने के लिए टाइमस्टैम्प हैं:

उन्हें निष्पादन योग्य फ़ाइल के नाम से जाना जाता है, इसके लिए पथ का चेकसम, निष्पादन योग्य फ़ाइल का आकार, साथ ही Prefetch फ़ाइल का संस्करण:

चूंकि हम विंडोज 10 के साथ काम कर रहे हैं, तो हम लॉन्च की संख्या, आखिरी लॉन्च की तारीख और समय देखेंगे, और पिछले लॉन्च की तारीखों का संकेत देते हुए सात और टाइमस्टैम्प:

वॉल्यूम के बारे में जानकारी के बाद उनके सीरियल नंबर और निर्माण की तारीख शामिल हैं:

और अंतिम लेकिन कम से कम नहीं, निर्देशिकाओं की एक सूची और निष्पादन योग्य फ़ाइलों के साथ बातचीत की गई:

इसलिए, जिन निर्देशिकाओं और फाइलों के साथ निष्पादन योग्य बातचीत की गई है, वे वही हैं जो मैं आज पर ध्यान केंद्रित करना चाहता हूं। यह वह डेटा है जो डिजिटल फोरेंसिक में विशेषज्ञों को कंप्यूटर की घटनाओं या सक्रिय खतरे की प्रतिक्रिया की अनुमति देता है ताकि न केवल एक फ़ाइल के निष्पादन के तथ्य को स्थापित किया जा सके, बल्कि, कुछ मामलों में, हमलावरों की विशिष्ट रणनीति और तकनीकों का पुनर्निर्माण किया जा सके। आज, हमलावर अक्सर स्थायी रूप से डेटा को हटाने के लिए उपकरण का उपयोग करते हैं, उदाहरण के लिए, SDelete, इसलिए कुछ रणनीति और तकनीकों के उपयोग के कम से कम निशान को पुनर्प्राप्त करने की क्षमता बस किसी भी आधुनिक रक्षक के लिए आवश्यक है - एक कंप्यूटर फोरेंसिक विशेषज्ञ, घटना प्रतिक्रिया विशेषज्ञ, थ्रेटहंटर विशेषज्ञ।

आइए आरंभिक प्रवेश रणनीति (TA0001) और सबसे लोकप्रिय तकनीक - स्पीयरफिशिंग अटैचमेंट (T1193) से शुरू करें। कुछ साइबर क्रिमिनल ग्रुप ऐसे अटैचमेंट्स चुनने के बारे में बहुत रचनात्मक हैं। उदाहरण के लिए, साइलेंस समूह ने इसके लिए CHM (Microsoft संकलित HTML मदद) फ़ाइलों का उपयोग किया। इस प्रकार, हमारे पास अभी तक एक और तकनीक है - संकलित HTML फ़ाइल (T1223)। ऐसी फाइलें hh.exe का उपयोग करके लॉन्च की जाती हैं , इसलिए, यदि हम इसकी Prefetch फ़ाइल से डेटा निकालते हैं, तो हम यह पता लगाएंगे कि पीड़ित ने कौन सी फ़ाइल देखी:

हम वास्तविक जीवन के उदाहरणों के साथ काम करना जारी रखते हैं और अगले निष्पादन रणनीति (TA0002) और CSMTP तकनीक (T1191) पर आगे बढ़ते हैं। Microsoft कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर (CMSTP.exe) का उपयोग दुर्भावनापूर्ण स्क्रिप्ट चलाने के लिए हमलावरों द्वारा किया जा सकता है। एक अच्छा उदाहरण कोबाल्ट बैंड है। यदि हम cmstp.exe प्रीफ़ैच फ़ाइल से डेटा निकालते हैं , तो हम फिर से पता लगा सकते हैं कि वास्तव में क्या शुरू किया गया था:

एक अन्य लोकप्रिय तकनीक Regsvr32 (T1117) है। Regsvr32.exe भी अक्सर हमलावरों द्वारा लॉन्च करने के लिए उपयोग किया जाता है। यहां कोबाल्ट समूह का एक और उदाहरण दिया गया है: यदि हम Prefetch फ़ाइल regsvr32.exe से डेटा निकालते हैं , तो फिर से हम देखेंगे कि क्या लॉन्च किया गया था:

निम्नलिखित रणनीति में दृढ़ता (TA0003) और विशेषाधिकार वृद्धि (TA0004) हैं, साथ ही एक तकनीक के रूप में एप्लीकेशन शिमिंगिंग (T1138) भी हैं। इस तकनीक का उपयोग सिस्टम को सुरक्षित करने के लिए Carbanak / FIN7 द्वारा किया गया था। आमतौर पर प्रोग्राम संगतता (.sdb) के बारे में जानकारी के साथ डेटाबेस के साथ काम करना sdbinst.exe का उपयोग करता है । इसलिए, इस निष्पादन योग्य फ़ाइल का प्रीफ़ैच फ़ाइल हमें ऐसे डेटाबेस के नाम और उनके स्थान का पता लगाने में मदद कर सकता है:

जैसा कि आप चित्रण में देख सकते हैं, हमारे पास न केवल स्थापना के लिए उपयोग की जाने वाली फ़ाइल का नाम है, बल्कि स्थापित डेटाबेस का नाम भी है।

आइए नेटवर्क यात्रा (TA0008), PsExec के सबसे सामान्य उदाहरणों में से एक पर एक नज़र डालें, जो प्रशासनिक साझा संसाधनों (T1077) का उपयोग करता है। PSEXECSVC नामक एक सेवा (निश्चित रूप से, किसी अन्य नाम का उपयोग किया जा सकता है यदि हमलावरों -r विकल्प का उपयोग किया जाता है ) को लक्ष्य प्रणाली पर बनाया जाएगा, इसलिए, यदि हम Prefetch फ़ाइल से डेटा निकालते हैं, तो हम देखेंगे कि यह लॉन्च किया गया था।

मैं, शायद, जो मैंने शुरू किया था, उसे खत्म कर दूंगा - फाइलों को हटाना (T1107)। जैसा कि मैंने उल्लेख किया है, कई हमलावर हमले के जीवन चक्र के विभिन्न चरणों में फ़ाइलों को स्थायी रूप से हटाने के लिए एसडीईटी का उपयोग करते हैं। यदि हम sdelete.exe Prefetch फ़ाइल के डेटा पर एक नज़र डालें , तो हम देखेंगे कि वास्तव में क्या हटाया गया था:

बेशक, यह उन तकनीकों की एक विस्तृत सूची नहीं है जो प्रीफ़ेक फ़ाइलों के विश्लेषण के दौरान पाई जा सकती हैं, लेकिन यह समझने के लिए पर्याप्त होना चाहिए कि ऐसी फाइलें न केवल लॉन्च के निशान पा सकती हैं, बल्कि हमलावरों की विशिष्ट रणनीति और तकनीकों का पुनर्निर्माण भी कर सकती हैं।

Source: https://habr.com/ru/post/undefined/