شبیه‌سازی و تست Scheduled Taskهای پنهان: ابزاری نوین برای تحلیلگران امنیتی

در دنیای امنیت سایبری، Scheduled Taskها یکی از روش‌های رایج مهاجمان برای اجرای نامحسوس کد مخرب در سیستم‌های ویندوز هستند. بسیاری از این Taskها چنان ماهرانه تنظیم می‌شوند که به راحتی از چشم ابزارهای تشخیص یا تحلیلگران شبکه پنهان می‌مانند. به همین دلیل، شبیه‌سازی رفتار این گونه Taskها می‌تواند به بهبود دتکشن و افزایش آگاهی تیم‌های دفاعی کمک شایانی کند.

معرفی ابزار Defender Utility Drop

ابزار جدیدی که اخیراً توسط یکی از پژوهشگران امنیتی منتشر شده، یک اسکریپت PowerShell است که با الهام از تحقیقات Binary Defense توسعه یافته است. این ابزار امکان شبیه‌سازی انواع سناریوهای پیچیده و دستکاری‌شده مربوط به Scheduled Taskها را فراهم می‌کند تا مدافعان بتوانند کیفیت قوانین و ابزارهای تشخیصی خود را آزمون کرده و نقاط ضعف را شناسایی نمایند.

چه قابلیت‌هایی دارد؟

این اسکریپت شامل تست‌های اتمیک مانند موارد زیر است:
- حذف یا جعل SD Value: شبیه‌سازی حذف یا دستکاری مقادیر Security Descriptor برای ردگیری رفتار ابزارهای امنیتی.
- سوءاستفاده از SDDL: بررسی مقاومت سیستم مقابل Deny-Access یا Abuse Policyها.
- تسک بدون لاگ: اجرای Taskهایی که عملاً ردی در Event Log ایجاد نمی‌کنند و شناسایی آنها دشوار است.
- دستکاری رجیستری و کلیپ‌بورد: ایجاد تغییرات مشکوک در مقادیر رجیستری یا کلیپ‌بورد برای تحلیل تاثیر این رفتارها روی ابزارهای EDR.
- تست‌های Sysmon: ارزیابی کارایی Ruleهای Sysmon در شناسایی سناریوهای فوق.
- نمایش خروجی ASCII برای تعامل بهتر و جذاب‌تر بودن تست‌ها.

کاربردها

این ابزار برای افراد زیر کاربرد ویژه دارد:
- تحلیلگران تهدید و محققان امنیتی که روی کشف و تحلیل رفتاری کار می‌کنند.
- ادمین‌ها و تیم‌های SOC که می‌خواهند کیفیت Ruleهای Sysmon یا سایر ابزارهای مانیتورینگ را بهبود دهند.
- افرادی که به دنبال شبیه‌سازی حملات در محیطی کنترل‌شده به سبک Atomic Red Team هستند.

#آکادمی_روزبه
ازجمله ابزارهای دوره های استاد روزبه


https://github.com/MHaggis/notes/blob/master/utilities/HiddenScheduledTasks.ps1