🈵 🛀🏿 👨🏾‍🔧 उन्नत Windows लॉगिंग। Mimikatz की तलाश है 👨‍🚀 👈🏽 🧑🏾‍🤝‍🧑🏼

सभी को नमस्कार। आज हम एक उदाहरण देखेंगे जहां एक हमलावर विंडोज डिफेंडर को बायपास करने में कामयाब रहा, लेकिन विफल रहा - एक सुरक्षा गार्ड। हाँ, यह फिर से mimikatz के बारे में है। कैसे, mimikatz लॉन्च करके, विंडोज डिफेंडर को बायपास करने के लिए, आप यहां पढ़ सकते हैं । और आज, जैसा कि मैंने वादा किया था, "ब्लू" टीम के लिए कुछ पर विचार करें। यदि यह किसी को कम से कम मदद करता है, तो यह व्यर्थ नहीं है। तो चलते हैं।

ELK स्टैक (Elasticsearch, लोगस्टैश, किबाना) के बारे में बहुत कुछ लिखा गया है (हैबे सहित), और आज हम इसका इस्तेमाल करेंगे, या अधिक सटीक होने के लिए, खतरे की शिकार करने के लिए हमारी जरूरतों के लिए एक ELK डोप किया जाएगा।

शिकार ELK, या HELK

HELK आरेख इस तरह दिखता है:

चलो स्थापना पर चलते हैं ।

डेवलपर के सलाह के अनुसार सर्वर जहां HELK स्थित होगा, मैंने चुना है:

tomhunter@helk:~$ cat /etc/lsb-release 
DISTRIB_ID=Ubuntu
DISTRIB_RELEASE=18.04
DISTRIB_CODENAME=bionic
DISTRIB_DESCRIPTION="Ubuntu 18.04.4 LTS"

स्थापना सरल है और 2 आदेशों में की गई है:

git clone https://github.com/Cyb3rWard0g/HELK
tomhunter@helk:~/HELK/docker$ sudo ./helk_install.sh

नोट: आपसे संस्थापन के लिए अधिक RAM आवंटित करने के लिए कहा जा सकता है। मैं 10 जीबी का उपयोग करता हूं।

प्रस्तावित स्थापना विकल्पों में से, मैंने KAFKA + KSQL + ELK + NGNIX + ELASTALERT को चुना । और अब बस इंतजार है। और, अगर हमने सब कुछ ठीक किया, तो हम पोषित देखेंगे:

सर्वर समाप्त होने के बाद, ग्राहक को तैयार करते हैं। यह एक विंडोज़ 10 मशीन होगी। हमें इस पर Sysmon को स्थापित करना होगा।

हमें कॉन्फ़िगरेशन फ़ाइल भी चाहिए:

 git clone https://github.com/olafhartong/sysmon-modular

विन्यास उत्पन्न करें:

 . .\Merge-SysmonXml.ps1
Merge-AllSysmonXml -Path ( Get-ChildItem '[0-9]*\*.xml') -AsString | Out-File sysmonconfig.xml

Daud:

 PS C:\Users\Tomhunter\Documents\sysmon-modular> .\Sysmon64.exe -i .\sysmonconfig.xml

हम winlogbeat को भी स्थापित करेंगे , winlogbeat.yml फ़ाइल को हटाएंगे और उसमें एक नया लिंक बनाकर raw.githubusercontent.com/Cyb3rWard0g/HELK/master/configs/winlogbeat/winlogbeat.yml की प्रतिलिपि
बनाएंगे।

ध्यान दें: यहां हमें आईपी पते को वांछित (मेरे मामले में मेजबान: [[192.168.31.97:9092]] में बदलने की आवश्यकता है।  

इंस्टॉल:

 PS C:\Users\Tomhunter\Desktop\winlogbeat-7.6.2-windows-x86_64> .\install-service-winlogbeat.ps1

नोट: आपको सेवा को हाथ से सक्षम करने या सिस्टम को रीबूट करने की आवश्यकता है।

सब कुछ तैयार है, देखते हैं कि हमें क्या मिलता है।

हम विंडोज 10 पर mimikatz शुरू करते हैं।

और साइबराना में प्रवेश किया है (मेरे मामले में यह 192.168.31.97 है , डिफ़ॉल्ट क्रेडेंशियल: हेल: शिकार) हम एक चेतावनी देखते हैं। अपने कच्चे रूप में, यह इस तरह दिखता है:

अलर्ट स्वयं को ई-मेल, स्लैक आदि में भेजा जा सकता है।

लेकिन हम इस बात में अधिक रुचि रखते हैं कि यह कैसे काम करता है, आइए समझते हैं।

सिद्धांत की बिट

विंडोज 10 के साथ mimikatz शुरू करने के बाद, निम्न संदेश उड़ जाता है: वह

कौन सा नियम है जिसने अलर्ट जारी किया जो मुझे भ्रमित करता है? (स्पॉइलर: mimikatz.exe फ़ाइल नाम नहीं)। आइए नियम पर एक नज़र डालते हैं:

sudo docker exec -it helk-elastalert bash
cat /opt/sigma/rules/windows/sysmon/sysmon_mimikatz_detection_lsass.yml

EventID: 10. यह हमारी प्रक्रिया है।

TargetImage: C: \ windows \ system32 \ lsass.exe। यह अच्छा है, लेकिन mimikatz एकमात्र ऐसा व्यक्ति नहीं है जो lsass में बदल जाता है।

अनुदानित: 0x1410 या 0x1010।

और यहां सब कुछ गिर जाता है। मै समझाता हूँ।

आइए mimikatz के स्रोत कोड पर एक नज़र डालें, अर्थात्, हम kuhl_m_sekurlsa.c फ़ाइल और kuhl_m_sekurlsa_acquireLSA () फ़ंक्शन में रुचि रखते हैं।

Microsoft वेबसाइट की ओर मुड़ते हुए, हम देखते हैं कि।

PROCESS_QUERY_LIMITED_INFORMATION (0x1000)
PROCESS_VM_READ (0x0010)
PROCESS_QUERY_INFORMATION (0x0400)

बिटवाइज़ “OR” का उपयोग करके हम अपना Granted Access प्राप्त करते हैं

नोट: इससे पहले सिग्मा नियम में केवल 0x1410 का पता लगाया गया था, शायद यह इस तथ्य के कारण है कि mimikatz के पुराने संस्करणों ने दोनों अनुरोध किए (PROCESS_QUERY_INFORMATION और PROCESS_QUERY_LIMITED_INFORMATION), हालांकि, mimikatz 0x1010 के साथ पारित हुआ, इसलिए आपको सही करना पड़ा। अब ऐसी कोई समस्या नहीं है, और सब कुछ बॉक्स से बाहर काम करता है।

इस प्रकार, यदि किबन में हम फ़िल्टर
इवेंट_ड: 10 और प्रोसेस_टार्गेट_नाम: "* lsass.exe" और process_granted_access: "0x1010" डालते हैं, तो हमारे पास केवल हमारा mimtatz होगा।

सुखद से: mimikatz_inmemory, mimikatz_trough_winrm और यहां तक कि safetycatz (अपने स्वयं के चिप्स के साथ mimikatz का .NET संस्करण) के लिए नियम हैं।

आप और क्या कर सकते हैं?

बेशक, नियम मिमिकेज़ तक सीमित नहीं हैं, उनमें से बहुत सारे हैं। वे श्रेणियों के अनुप्रयोग, क्लाउड, अनुपालन, लिनक्स, नेटवर्क, प्रॉक्सी, वेब और विंडोज़ में विभाजित हैं। श्रेणियों को उपश्रेणियों में विभाजित किया गया है। उदाहरण के लिए, विंडोज़ को बेसिन, मैलवेयर, अन्य, पावरशेल, प्रोसेस_क्रिएशन, सिसमोन में विभाजित किया गया है।

और जो जानता है, शायद GPO में पॉवरशेल लॉगिंग को शामिल करके, आप इन नियमों के अनुसार अलर्ट प्राप्त करेंगे:

यह सब प्रतीत होता है। ~~चैनल की सदस्यता लें, जैसे, घंटी पर क्लिक करें।~~

उन्नत Windows लॉगिंग। Mimikatz की तलाश है

शिकार ELK, या HELK

सिद्धांत की बिट

आप और क्या कर सकते हैं?

More articles: