از دغدغه های معمار SOC
✳️مساله :گاهی مهاجم حتی فایل اصلی exe برنامه را دست نمیزند، فقط manifest برنامه را عوض می‌کند تا DLL مخربش لود شود. این تغییر کوچک می‌تواند ماه‌ها پنهان بماند مگر اینکه baseline داشته باشید
اما مانیفست (Manifest) چیست ؟
در ویندوز در واقع یک فایل توضیحی یا نقشه راه است که به سیستم‌عامل می‌گوید یک برنامه باید چطور و با چه وابستگی‌هایی اجرا شود.
💥چطور می‌توان تغییرات manifest را بررسی کرد؟
🔰پایش مداوم فایل‌های manifest (File Integrity Monitoring)
🔸️فایل‌های manifest معمولاً پسوند ندارند یا .manifest هستند و کنار exe اصلی یا در مسیر نصب برنامه ذخیره می‌شوند.
🔸️می‌توان یک hash baseline از همه manifest ها گرفت.
🔸️ابزارهایی مثل Tripwire, OSSEC, یا حتی اسکریپت PowerShell می‌توانند هش فایل‌ها را پایش کنند و تغییرات را گزارش دهند.
🔰 استخراج و بررسی manifest جاسازی‌شده (Embedded Manifest)
🔸️بعضی برنامه‌ها manifest را داخل خود فایل exe یا dll embed می‌کنند.
🔸️با ابزارهایی مثل mt.exe (Microsoft Manifest Tool) یا Resource Hacker می‌توان manifest را از باینری استخراج و ذخیره کرد.
🔸️همان روند baseline/hash check برای این manifestهای استخراجی قابل اجرا است.
🔰مانیتور کردن مسیرهای حساس
🔸️مسیرهای نصب برنامه (Program Files, Windows\System32) و پوشه کاربر که برنامه‌های بدون امضا یا تستی در آن نصب شده‌اند، باید در سرویس FIM یا EDR تحت نظر باشند.
🔸️وEvent ID 4663 (Object Access) در Windows Security هم می‌تواند تغییر فایل‌ها را لاگ کند، هرچند پر سروصداست و نیاز به فیلتر دارد.
جهت اطلاع : در استاکس نت چنین رفتاری دیده شده است .
💐شاد باشید . خوشحال و با امید زندگی کنید
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
✳️مساله :گاهی مهاجم حتی فایل اصلی exe برنامه را دست نمیزند، فقط manifest برنامه را عوض می‌کند تا DLL مخربش لود شود. این تغییر کوچک می‌تواند ماه‌ها پنهان بماند مگر اینکه baseline داشته باشید
اما مانیفست (Manifest) چیست ؟
در ویندوز در واقع یک فایل توضیحی یا نقشه راه است که به سیستم‌عامل می‌گوید یک برنامه باید چطور و با چه وابستگی‌هایی اجرا شود.
💥چطور می‌توان تغییرات manifest را بررسی کرد؟
🔰پایش مداوم فایل‌های manifest (File Integrity Monitoring)
🔸️فایل‌های manifest معمولاً پسوند ندارند یا .manifest هستند و کنار exe اصلی یا در مسیر نصب برنامه ذخیره می‌شوند.
🔸️می‌توان یک hash baseline از همه manifest ها گرفت.
🔸️ابزارهایی مثل Tripwire, OSSEC, یا حتی اسکریپت PowerShell می‌توانند هش فایل‌ها را پایش کنند و تغییرات را گزارش دهند.
🔰 استخراج و بررسی manifest جاسازی‌شده (Embedded Manifest)
🔸️بعضی برنامه‌ها manifest را داخل خود فایل exe یا dll embed می‌کنند.
🔸️با ابزارهایی مثل mt.exe (Microsoft Manifest Tool) یا Resource Hacker می‌توان manifest را از باینری استخراج و ذخیره کرد.
🔸️همان روند baseline/hash check برای این manifestهای استخراجی قابل اجرا است.
🔰مانیتور کردن مسیرهای حساس
🔸️مسیرهای نصب برنامه (Program Files, Windows\System32) و پوشه کاربر که برنامه‌های بدون امضا یا تستی در آن نصب شده‌اند، باید در سرویس FIM یا EDR تحت نظر باشند.
🔸️وEvent ID 4663 (Object Access) در Windows Security هم می‌تواند تغییر فایل‌ها را لاگ کند، هرچند پر سروصداست و نیاز به فیلتر دارد.
جهت اطلاع : در استاکس نت چنین رفتاری دیده شده است .
💐شاد باشید . خوشحال و با امید زندگی کنید
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
Comments
Be the first to add a comment
Log in to comment