💥بررسی یک IOC مهم
غیرفعال‌سازی SafeDllSearchMode
در بخشی از یک Defense Evasion + Persistence و برای اجرای DLL Search Order Hijacking یا Phantom DLL Injection هکر میتواند غیر فعال سازی فوق را انجام دهد. لذا غیر فعال بودن ( کردن) SafeDllSearchMode میتواند نشانه‌ای از تسخیر باشد
🟣روش کشف
رویداد Sysmon Event ID 13 ، تغییر رجیستری روی مسیرزیر:
✳️HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode
✳️HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\SafeDllSearchMode
و Event ID 4657 (Windows Security) برای تغییر رجیستری با Audit Mode.
یا
هشدار EDR برای فرآیندی که reg.exe یا powershell را برای تغییر این کلید اجرا می‌کند.
بررسی تطبیقی با baseline رجیستری.
💐شاد باشید . خوشحال و با امید زندگی کنید
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
غیرفعال‌سازی SafeDllSearchMode
در بخشی از یک Defense Evasion + Persistence و برای اجرای DLL Search Order Hijacking یا Phantom DLL Injection هکر میتواند غیر فعال سازی فوق را انجام دهد. لذا غیر فعال بودن ( کردن) SafeDllSearchMode میتواند نشانه‌ای از تسخیر باشد
🟣روش کشف
رویداد Sysmon Event ID 13 ، تغییر رجیستری روی مسیرزیر:
✳️HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode
✳️HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\SafeDllSearchMode
و Event ID 4657 (Windows Security) برای تغییر رجیستری با Audit Mode.
یا
هشدار EDR برای فرآیندی که reg.exe یا powershell را برای تغییر این کلید اجرا می‌کند.
بررسی تطبیقی با baseline رجیستری.
💐شاد باشید . خوشحال و با امید زندگی کنید
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
Comments
Be the first to add a comment
Log in to comment