شکار تهدیدات پیشرفته: روش‌های شناسایی چارچوب‌های C2 مبتنی بر PowerShell در حافظه

مقدمه: چالش حملات بدون فایل (Fileless Attacks)

در سناریوهای پس از نفوذ (Post-Exploitation)، مهاجمان حرفه‌ای برای حفظ کنترل پایدار و پنهان بر روی سیستم‌های قربانی، از چارچوب‌های فرمان و کنترل (C2) پیشرفته‌ای مانند PowerShell Empire و Covenant استفاده می‌کنند. ویژگی اصلی این ابزارها، اجرای کدها مستقیماً در حافظه (Memory-Resident Execution) است. این تکنیک به مهاجم اجازه می‌دهد تا اسکریپت‌های مخرب PowerShell را بدون ایجاد هیچ فایلی روی دیسک اجرا کند و در نتیجه، از دید بسیاری از آنتی‌ویروس‌های سنتی که بر اسکن فایل‌ها متمرکز هستند، پنهان بماند.

مهاجم معمولاً با استفاده از دستوراتی مانند Invoke-Expression (IEX) یا پارامتر -EncodedCommand، اسکریپت‌های خود را رمزگذاری (Encode) کرده و از طریق کانال‌های ارتباطی رایج مانند HTTP، HTTPS یا SMB به سرور C2 متصل می‌شود. این امر باعث می‌شود ترافیک شبکه ظاهری کاملاً عادی داشته باشد، در حالی که در واقعیت، سیستم تحت کنترل کامل مهاجم قرار دارد.
بخش اول: تغییر رویکرد دفاعی؛ از فایل به رفتار
برای کشف این نوع فعالیت‌های مخفیانه، تیم‌های امنیتی باید تمرکز خود را از تحلیل «فایل‌های مخرب» به سمت نظارت بر «رفتار فرآیندها و تغییرات حافظه» معطوف کنند. سرنخ‌های اصلی شناسایی این حملات، در خودِ فرآیندهای PowerShell و نحوه اجرای آن‌ها نهفته است.
بخش دوم: ابزارها و تکنیک‌های کلیدی برای شناسایی
۱. فعال‌سازی لاگ‌های پیشرفته PowerShell:
اولین و مهم‌ترین گام، فعال‌سازی قابلیت‌های ثبت لاگ داخلی PowerShell است. این قابلیت‌ها دید عمیقی از کدهای اجراشده فراهم می‌کنند:
Script Block Logging (Event ID 4104): این لاگ، محتوای کامل اسکریپت‌های اجراشده را ثبت می‌کند، حتی اگر رمزگذاری شده یا در حافظه اجرا شوند. تحلیلگران با بررسی این رویداد می‌توانند کدهای مخفی‌شده در دستورات IEX یا -EncodedCommand را مشاهده کنند.
Module Logging (Event ID 4103): این قابلیت، جزئیات بارگذاری ماژول‌های PowerShell و فراخوانی توابع مختلف را ثبت می‌کند که می‌تواند برای شناسایی رفتارهای غیرعادی مفید باشد.
۲. نظارت عمیق بر فرآیندها با Sysmon:
ابزار Sysmon (بخشی از مجموعه Sysinternals) یک ابزار قدرتمند برای نظارت بر فعالیت‌های سطح سیستم‌عامل است. با نصب و پیکربندی صحیح Sysmon، می‌توان رویدادهای حیاتی زیر را که مستقیماً به حملات PowerShell مرتبط هستند، ثبت و تحلیل کرد:
Event ID 1: Process Creation: ایجاد هر فرآیند PowerShell را به همراه پارامترهای خط فرمان آن ثبت می‌کند. وجود پارامترهای مشکوکی مانند -e, -enc, IEX, -nop, -w hidden یا DownloadString در این لاگ، یک نشانه خطر جدی است.
Event ID 17 & 18: Pipe Created/Connected: ابزارهایی مانند Empire برای ارتباط بین اجزای خود در داخل یک سیستم (Lateral Movement) از Named Pipe استفاده می‌کنند. شناسایی Pipeهایی با نام‌های غیرمتعارف (مانند \\.\pipe\MSSE-*.server) می‌تواند نشان‌دهنده فعالیت C2 داخلی باشد.
Event ID 10: Process Access: این رویداد، دسترسی یک فرآیند به حافظه فرآیند دیگر را ثبت می‌کند. دسترسی غیرعادی یک فرآیند PowerShell یا rundll32.exe به حافظه فرآیند lsass.exe (که وظیفه مدیریت اعتبارسنجی‌ها را بر عهده دارد)، یک نشانه قوی از تلاش برای سرقت اطلاعات هویتی با ابزارهایی مانند Mimikatz است.
بخش سوم: تحلیل داده‌ها و شکار تهدید (Threat Hunting)
پس از جمع‌آوری لاگ‌ها از منابع فوق، باید آن‌ها را در یک پلتفرم مدیریت اطلاعات و رخدادهای امنیتی (SIEM) متمرکز کرده و تحلیل نمود. تحلیلگران می‌توانند با استفاده از کوئری‌های هدفمند، به شکار این تهدیدات بپردازند:
جستجوی رشته‌های Base64 طولانی: دستورات -EncodedCommand از رمزگذاری Base64 استفاده می‌کنند. جستجوی فرآیندهای PowerShell که دارای رشته‌های Base64 بسیار طولانی در خط فرمان خود هستند، یک تکنیک شکار مؤثر است.
ارتباطات شبکه‌ای مشکوک: بررسی فرآیندهای PowerShell که ارتباطات شبکه‌ای به خارج از سازمان برقرار می‌کنند، به‌ویژه اگر از مسیرهای غیرمعمول مانند پوشه Temp اجرا شده باشند.
تحلیل User-Agent در لاگ‌های پراکسی: چارچوب‌های C2 معمولاً از User-Agentهای خاص یا غیرمرسومی در ارتباطات HTTP/HTTPS خود استفاده می‌کنند. شناسایی این الگوها در لاگ‌های وب‌پراکسی می‌تواند به کشف سرورهای C2 کمک کند.



ثبت نام دوره های امنیت سطح ۱ و ۲
واتس اپ 09902857290
Www.haumoun.com