درس 608 که با هم از 15 شهریور شروع میکنیم
دور زدن EDR با Parent PID Spoofing و Command Line Spoofing: تهدیدی پنهان برای SOC
مانند هر فناوری امنیتی دیگر، EDR نیز نقاط ضعف دارد. مهاجمان حرفه‌ای و تیم‌های Red Team سال‌هاست از این نقاط ضعف برای محو ردپا و شکستن روابط تحلیلی استفاده می‌کنند. دو روش رایج در این حوزه عبارت‌اند از:
یک Parent PID Spoofing (تغییر والد پردازش)
دو Command Line Spoofing (جعل خط فرمان پردازش)
1. Parent PID Spoofing:
والد جعلی برای پردازش
در ویندوز، تابع API به نام CreateProcess این امکان را می‌دهد که یک فرآیند جدید با تعیین یک شناسه پردازش والد دلخواه ایجاد شود (از طریق پارامتر STARTUPINFOEX). این قابلیت در اصل برای اهداف مشروع مانند UAC طراحی شده تا پردازش‌های با سطح دسترسی بالا، همچنان به پردازش اصلی گره بخورند.
ولی هکرها از این قابلیت برای چه استفاده می‌کنند؟
اجرای پردازش مخرب زیر والد بی‌گناه مثل explorer.exe
دور زدن قواعد EDR که بر اساس الگوهای والد-فرزند هشدار می‌دهند
یکی از ابزارهای مشهور برای آزمایش این تکنیک، SelectMyParent.exe اثر Didier Stevens است. کافی است نام پردازش مقصد و PID والد جعلی را بدهید تا یک رابطه ساختگی ایجاد شود. نتیجه این است که، مثلاً notepad.exe با والد ظاهری lsass.exe یا هر پردازش دیگری دیده شود، در حالی که در واقع والد واقعی آن یک لانچر مخرب بوده است.
2. روش‌های دیگر تغییر والد پردازش
علاوه بر CreateProcess مهاجمان گزینه‌های خلاقانه دیگری نیز دارند:
استفاده از COM Object یک پردازش دیگر
نمونه: ارجاع به COM Object explorer.exe برای راه‌اندازی کد مخرب (مورد استفاده در حرکت جانبی با DCOM).
VBScript + WMI
اجرای پردازش از طریق WMI با والد wmiprvse.exe که اغلب به‌عنوان ترافیک عادی تفسیر می‌شود.
Scheduled Tasks یا RunOnce Registry Keys
اجرای تأخیری یک پردازش مخرب با والد متفاوت، که ردیابی مسیر آلودگی را سخت‌تر می‌کند.
3. Command Line Spoofing:
جعل پارامترها
یکی دیگر از ستون‌های دفاعی EDR، ثبت آرگومان‌های خط فرمان است. این داده‌ها در Process Environment Block (PEB) پردازش ذخیره می‌شوند، اما در هسته سیستم (Kernel) محافظت خاصی ندارند. همین باعث می‌شود مهاجم بتواند:
پردازش را در حالت Suspended اجرا کند.
مقادیر Command Line را با متن بی‌خطر جایگزین کند.
پردازش را Resume کرده تا رفتار واقعی رخ دهد، در حالی که لاگ، نسخه جعل‌شده را ثبت کرده است.
این روش حتی می‌تواند ابزارهای قدرتمندی مانند Sysmon و Process Explorer را فریب دهد، مگر اینکه از تکنیک‌های پیشرفته تحلیل حافظه برای کشف Command Line واقعی استفاده شود.
4. سناریوی عملی و پیامدها برای SOC
فرض کنید در یک حمله فیشینگ، فایل ماکروی ورد یک VBScript اجرا می‌کند که از WMI برای راه‌اندازی بدافزار اصلی استفاده می‌کند. در نتیجه، والد پردازش wmiprvse.exe خواهد بود و بسیاری از قواعد عادی EDR آن را مشکوک نمی‌بینند.
یا در مثالی دیگر، بک‌دور کننده Cobalt Strike با استفاده از Command Line Spoofing نشان می‌دهد که پردازش بی‌آزار calc.exe با آرگومان‌های بی‌ضرر اجرا شده، در حالی که در واقع با آرگومان‌های اصلی، یک کانال C2 فعال را مدیریت می‌کند.
5. چالش‌ها و توصیه‌ها را در مقالات بعد خواهم داشت.
برای استفاده از این کلاس با مفاهیم غنی سنز با واتس اپ و بله 09902857290در تماس باشید
دور زدن EDR با Parent PID Spoofing و Command Line Spoofing: تهدیدی پنهان برای SOC
مانند هر فناوری امنیتی دیگر، EDR نیز نقاط ضعف دارد. مهاجمان حرفه‌ای و تیم‌های Red Team سال‌هاست از این نقاط ضعف برای محو ردپا و شکستن روابط تحلیلی استفاده می‌کنند. دو روش رایج در این حوزه عبارت‌اند از:
یک Parent PID Spoofing (تغییر والد پردازش)
دو Command Line Spoofing (جعل خط فرمان پردازش)
1. Parent PID Spoofing:
والد جعلی برای پردازش
در ویندوز، تابع API به نام CreateProcess این امکان را می‌دهد که یک فرآیند جدید با تعیین یک شناسه پردازش والد دلخواه ایجاد شود (از طریق پارامتر STARTUPINFOEX). این قابلیت در اصل برای اهداف مشروع مانند UAC طراحی شده تا پردازش‌های با سطح دسترسی بالا، همچنان به پردازش اصلی گره بخورند.
ولی هکرها از این قابلیت برای چه استفاده می‌کنند؟
اجرای پردازش مخرب زیر والد بی‌گناه مثل explorer.exe
دور زدن قواعد EDR که بر اساس الگوهای والد-فرزند هشدار می‌دهند
یکی از ابزارهای مشهور برای آزمایش این تکنیک، SelectMyParent.exe اثر Didier Stevens است. کافی است نام پردازش مقصد و PID والد جعلی را بدهید تا یک رابطه ساختگی ایجاد شود. نتیجه این است که، مثلاً notepad.exe با والد ظاهری lsass.exe یا هر پردازش دیگری دیده شود، در حالی که در واقع والد واقعی آن یک لانچر مخرب بوده است.
2. روش‌های دیگر تغییر والد پردازش
علاوه بر CreateProcess مهاجمان گزینه‌های خلاقانه دیگری نیز دارند:
استفاده از COM Object یک پردازش دیگر
نمونه: ارجاع به COM Object explorer.exe برای راه‌اندازی کد مخرب (مورد استفاده در حرکت جانبی با DCOM).
VBScript + WMI
اجرای پردازش از طریق WMI با والد wmiprvse.exe که اغلب به‌عنوان ترافیک عادی تفسیر می‌شود.
Scheduled Tasks یا RunOnce Registry Keys
اجرای تأخیری یک پردازش مخرب با والد متفاوت، که ردیابی مسیر آلودگی را سخت‌تر می‌کند.
3. Command Line Spoofing:
جعل پارامترها
یکی دیگر از ستون‌های دفاعی EDR، ثبت آرگومان‌های خط فرمان است. این داده‌ها در Process Environment Block (PEB) پردازش ذخیره می‌شوند، اما در هسته سیستم (Kernel) محافظت خاصی ندارند. همین باعث می‌شود مهاجم بتواند:
پردازش را در حالت Suspended اجرا کند.
مقادیر Command Line را با متن بی‌خطر جایگزین کند.
پردازش را Resume کرده تا رفتار واقعی رخ دهد، در حالی که لاگ، نسخه جعل‌شده را ثبت کرده است.
این روش حتی می‌تواند ابزارهای قدرتمندی مانند Sysmon و Process Explorer را فریب دهد، مگر اینکه از تکنیک‌های پیشرفته تحلیل حافظه برای کشف Command Line واقعی استفاده شود.
4. سناریوی عملی و پیامدها برای SOC
فرض کنید در یک حمله فیشینگ، فایل ماکروی ورد یک VBScript اجرا می‌کند که از WMI برای راه‌اندازی بدافزار اصلی استفاده می‌کند. در نتیجه، والد پردازش wmiprvse.exe خواهد بود و بسیاری از قواعد عادی EDR آن را مشکوک نمی‌بینند.
یا در مثالی دیگر، بک‌دور کننده Cobalt Strike با استفاده از Command Line Spoofing نشان می‌دهد که پردازش بی‌آزار calc.exe با آرگومان‌های بی‌ضرر اجرا شده، در حالی که در واقع با آرگومان‌های اصلی، یک کانال C2 فعال را مدیریت می‌کند.
5. چالش‌ها و توصیه‌ها را در مقالات بعد خواهم داشت.
برای استفاده از این کلاس با مفاهیم غنی سنز با واتس اپ و بله 09902857290در تماس باشید
Comments
Be the first to add a comment
Log in to comment