بحث امشب یادگار روز پایانی تابستان ۱۴۰۴
کالبدشکافی تهدید: ردپای فارنزیک WSL
بررسی های من نشان می‌دهد که هرگونه تعامل با WSL، از فعال‌سازی اولیه تا اجرای یک دستور ساده ، مجموعه‌ای غنی از ردپاها را در لایه‌های مختلف سیستم‌عامل ویندوز به جا می‌گذارد. این آرتیفکت‌ها، قطعات پازلی هستند که اگر به درستی کنار هم چیده شوند، تصویر کامل فعالیت یک مهاجم را آشکار می‌سازند.
من این آرتیفکت‌ها را به سه دسته اصلی طبقه‌بندی کرده‌ام:
💥 آرتیفکت‌های رویدادمحور (Event-Based Artifacts): این‌ها حیاتی‌ترین منبع اطلاعاتی ما هستند. فعال شدن سرویس LxssManager، اجرای پروسه‌هایی مانند wsl.exe و wslhost.exe، و به‌ویژه، تحلیل پروسه والد (Parent Process)، همگی در لاگ‌های امنیتی ویندوز و Sysmon ثبت می‌شوند. به عنوان مثال، اجرای wsl.exe توسط پروسه‌ای مانند winword.exe یک نشانگر حمله (Indicator of Compromise) با قطعیت بسیار بالاست که نشان‌دهنده اجرای کد از طریق یک سند مخرب است.
💥 آرتیفکت‌های فایل سیستم و رجیستری: نصب هر توزیع لینوکس، یک فایل دیسک مجازی (.vhdx) در پروفایل کاربر و کلیدهایی مشخص در رجیستری ویندوز (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Lxss) ایجاد می‌کند. مانیتورینگ این مسیرها به ما اجازه می‌دهد تا نصب غیرمجاز ابزارهای تهاجمی مانند Kali Linux را بلافاصله شناسایی کنیم.
💥 آرتیفکت‌های شبکه: WSL از یک آداپتور شبکه مجازی برای ارتباط با دنیای خارج استفاده می‌کند. ترافیکی که از پروسه‌های مرتبط با WSL نشأت می‌گیرد، باید با وسواس بیشتری بررسی شود. ارتباط wsl.exe با یک آدرس IP شناخته‌شده به عنوان سرور فرماندهی و کنترل (C2)، زنگ خطری است که نباید نادیده گرفته شود.
حالا این شما و رولهای اسپلانک که می‌نویسید.
#آکادمی_روزبه
بحث کامل تر را در سنز 608 و دوره سطح ۲ خواهم داشت .
کالبدشکافی تهدید: ردپای فارنزیک WSL
بررسی های من نشان می‌دهد که هرگونه تعامل با WSL، از فعال‌سازی اولیه تا اجرای یک دستور ساده ، مجموعه‌ای غنی از ردپاها را در لایه‌های مختلف سیستم‌عامل ویندوز به جا می‌گذارد. این آرتیفکت‌ها، قطعات پازلی هستند که اگر به درستی کنار هم چیده شوند، تصویر کامل فعالیت یک مهاجم را آشکار می‌سازند.
من این آرتیفکت‌ها را به سه دسته اصلی طبقه‌بندی کرده‌ام:
💥 آرتیفکت‌های رویدادمحور (Event-Based Artifacts): این‌ها حیاتی‌ترین منبع اطلاعاتی ما هستند. فعال شدن سرویس LxssManager، اجرای پروسه‌هایی مانند wsl.exe و wslhost.exe، و به‌ویژه، تحلیل پروسه والد (Parent Process)، همگی در لاگ‌های امنیتی ویندوز و Sysmon ثبت می‌شوند. به عنوان مثال، اجرای wsl.exe توسط پروسه‌ای مانند winword.exe یک نشانگر حمله (Indicator of Compromise) با قطعیت بسیار بالاست که نشان‌دهنده اجرای کد از طریق یک سند مخرب است.
💥 آرتیفکت‌های فایل سیستم و رجیستری: نصب هر توزیع لینوکس، یک فایل دیسک مجازی (.vhdx) در پروفایل کاربر و کلیدهایی مشخص در رجیستری ویندوز (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Lxss) ایجاد می‌کند. مانیتورینگ این مسیرها به ما اجازه می‌دهد تا نصب غیرمجاز ابزارهای تهاجمی مانند Kali Linux را بلافاصله شناسایی کنیم.
💥 آرتیفکت‌های شبکه: WSL از یک آداپتور شبکه مجازی برای ارتباط با دنیای خارج استفاده می‌کند. ترافیکی که از پروسه‌های مرتبط با WSL نشأت می‌گیرد، باید با وسواس بیشتری بررسی شود. ارتباط wsl.exe با یک آدرس IP شناخته‌شده به عنوان سرور فرماندهی و کنترل (C2)، زنگ خطری است که نباید نادیده گرفته شود.
حالا این شما و رولهای اسپلانک که می‌نویسید.
#آکادمی_روزبه
بحث کامل تر را در سنز 608 و دوره سطح ۲ خواهم داشت .
Comments
Be the first to add a comment
Log in to comment