درگیری امروز من در SOC
کلید رجیستری
HKLM\SYSTEM\CurrentControlSet\Services\SgrmBroker\Parameters\ServiceDll
این کلید مسیر DLL سرویس امنیتی SgrmBroker (System Guard Runtime Monitor Broker) را تعیین میکند. این سرویس بخشی حیاتی از Windows Defender System Guard است و در Context SYSTEM اجرا می‌شود تا تمامیت کرنل و زنجیره بوت را بررسی کند. مقدار پیش‌فرض ServiceDll باید به %SystemRoot%\System32\sgrm.dll اشاره کند.
دستکاری این مسیر به مهاجم اجازه می‌دهد DLL مخرب خود را با دسترسی SYSTEM لود کرده و Privilege Escalation، Persistence و حتی EDR Bypass انجام دهد. به دلیل مشروعیت سرویس، فعالیت مخرب می‌تواند پنهان بماند.
روش رایج حمله شامل تغییر مستقیم مقدار رجیستری با پاورشل (Set-ItemProperty) یا جایگزینی فایل اصلی DLL است. این نقطه حساس به‌سختی مانیتور می‌شود و هدفی جذاب است، بنابراین بررسی و محافظت آن برای تیم‌های SOC و Blue Team حیاتی است.
توجه کنید که اگر EDR خودتون رو خوب تنظیم کنید در حفاظت از این مقوله نقش مهمی بازی میکند.
#یاد_بدهیم
با آموزش رقیب نمی‌تراشیم بلکه بیشتر یادمیگیر یم
کلید رجیستری
HKLM\SYSTEM\CurrentControlSet\Services\SgrmBroker\Parameters\ServiceDll
این کلید مسیر DLL سرویس امنیتی SgrmBroker (System Guard Runtime Monitor Broker) را تعیین میکند. این سرویس بخشی حیاتی از Windows Defender System Guard است و در Context SYSTEM اجرا می‌شود تا تمامیت کرنل و زنجیره بوت را بررسی کند. مقدار پیش‌فرض ServiceDll باید به %SystemRoot%\System32\sgrm.dll اشاره کند.
دستکاری این مسیر به مهاجم اجازه می‌دهد DLL مخرب خود را با دسترسی SYSTEM لود کرده و Privilege Escalation، Persistence و حتی EDR Bypass انجام دهد. به دلیل مشروعیت سرویس، فعالیت مخرب می‌تواند پنهان بماند.
روش رایج حمله شامل تغییر مستقیم مقدار رجیستری با پاورشل (Set-ItemProperty) یا جایگزینی فایل اصلی DLL است. این نقطه حساس به‌سختی مانیتور می‌شود و هدفی جذاب است، بنابراین بررسی و محافظت آن برای تیم‌های SOC و Blue Team حیاتی است.
توجه کنید که اگر EDR خودتون رو خوب تنظیم کنید در حفاظت از این مقوله نقش مهمی بازی میکند.
#یاد_بدهیم
با آموزش رقیب نمی‌تراشیم بلکه بیشتر یادمیگیر یم
Comments
Be the first to add a comment
Log in to comment