💫سناریوی لاگ: وصله کاری در تاریکی(Patching in the Dark)

قسمت اول 1️⃣


در این سناریو، مهاجم از تکنیک Full DLL Unhooking برای غیرفعال کردن هوک‌های User-Mode EDR و سپس اجرای یک payload با استفاده از ابزار مدیریت از راه دور استفاده می‌کند.

🎇ابزارهای مانیتورینگ ما:
1. Sysmon:
ابزار قدرتمند مایکروسافت برای مانیتورینگ عمیق سیستم. فرض می‌کنیم با یک کانفیگ خوب نصب شده.
2. Windows Security Logs:
لاگ‌های پیش‌فرض ویندوز.
3. EDR Logs:
لاگ‌های خود EDR که برخی فعالیت‌ها را ثبت می‌کند اما رویدادهای کلیدی را از دست می‌دهد.


دنباله‌ی زمانی لاگ‌ها (The Log Timeline)

زمان: T0 (10:30:15 AM)
منبع: Windows Security Log (Event ID 4688 - A new process has been created)

{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}


➕ تحلیل اولیه: کاربر jsmith یک اسکریپت پاورشل را از یک مسیر شبکه اجرا کرده است. این رفتار مشکوک است اما نه لزوماً مخرب. بسیاری از ادمین‌ها از این روش برای مدیریت سیستم‌ها استفاده می‌کنند. EDR ممکن است یک هشدار با اولویت پایین (Low Severity Alert) ایجاد کند، اما آن را بلاک نمی‌کند.


زمان: T1 (10:30:17 AM)
منبع: Sysmon (Event ID 10 - ProcessAccess)

{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}
➕ تحلیل اولیه: پراسس powershell.exe به حافظه‌ی خودش با سطح دسترسی کامل (0x1FFFFF یا PROCESS_ALL_ACCESS) دسترسی پیدا کرده است.
* تحلیل عمیق (اینجا نکته کلیدی است!): چرا یک پراسس باید به خودش دسترسی کامل بخواهد؟ این رفتار بسیار غیرعادی است. این لاگ سرنخ اصلی ماست. اسکریپت پاورشل در حال آماده شدن برای دستکاری حافظه‌ی خودش است. این اولین قدم برای فرآیند Unhooking است. EDR اینجا باید حساس شود، اما بسیاری از آن‌ها این رفتار را به عنوان یک تهدید قطعی در نظر نمی‌گیرند چون Source و Target یکی هستند.


زمان: T2 (10:30:18 AM)
منبع: Sysmon (Event ID 7 - Image Loaded)

{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}
* تحلیل: این لاگ نشان می‌دهد که DLL مربوط به EDR (در اینجا به عنوان مثال Sophos) به درستی در پراسس powershell.exe لود شده است. این یعنی EDR "فکر می‌کند" که در حال مانیتورینگ این پراسس است.


زمان: T3 (10:30:20 AM)
منبع: لاگ EDR (EDR Telemetry)


{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",


🔓پایان قسمت اول

🎯دوره های درحال ثبت نام #آکادمی_روزبه

🌎ثبت نام دوره امنیت سطح ۱
🍀ثبت نام CISSP

واتس اپ و بله 09902857290🍀1️⃣