شکار تهدید: کشف سوءاستفاده از werfault.exe
عزیزان بسیاری در SOC های کشور درحال انجام وظایف خطیر هستند که بعضا منجر به کشف های بدیع و جالب میگردد.
اما نکته مهم آن است که اشتراک تجربیات به میزان کمی صورت می‌پذیرد. دلیل آن را نمی‌خواهم بشکافم ولی ترجیح میدهم هم به همکاران هم به مدیران آنها توصیه به اشتراک دانش داشته باشم.
خودم درحد توان که باشه ، تجربیاتی که مشکل امنیتی نداشته داشته باشه رو برای انتقال تجربیات اینجا میگذارم .
در یکی از پروژه‌های شکار تهدید اخیر، متوجه یک الگوی غیرعادی در لاگ‌های EDR شدم. یک پروسس سیستم مایکروسافت به‌نام werfault.exe --که در حالت عادی مسئول گزارش خطاها و ارسال آن به مایکروسافت است -- در حال برقراری ارتباط شبکه‌ای با یک دامنه ناشناس بود.
در نگاه اول، این رفتار می‌توانست یک خطای سیستمی عادی تلقی شود، اما بررسی دقیق‌تر مسیر اجرای پروسس نشان داد که فایل werfault.exe از مسیر پیش‌فرض ویندوز (C:\Windows\System32\) اجرا نشده، بلکه در یک مسیر مشکوک مانند C:\ProgramData\ قرار داشته است. این موضوع احتمال جعل یا سوءاستفاده عمدی را به‌شدت تقویت کرد.
با بازسازی زنجیره رویداد (Event Chain) مشخص شد که مهاجم از تکنیک DLL Sideloading بهره برده و werfault.exe را به‌عنوان یک LOLBAS برای اجرای لودر بدافزار استفاده کرده است. به دلیل اعتماد ذاتی بسیاری از راهکارهای امنیتی به این پروسس، فعالیت‌های مخرب آن از دید مکانیزم‌های پیشگیری عبور کرده بود.
در گام پایانی، با قرنطینه کردن فایل جعلی و مسدود کردن ارتباطات شبکه‌ای مرتبط، مسیر نفوذ مهاجم مسدود شد و IoCهای به‌دست‌آمده به تیم‌های Blue و Red جهت بهبود Playbookها و سناریوهای شبیه‌سازی ارسال گردید.
این تجربه بار دیگر ثابت کرد که در شکار تهدید، حتی «پروسس‌های آشنا» نیز می‌توانند میزبان فعالیت‌های بسیار مخرب باشند و تحلیل مبتنی بر ناهنجاری رفتاری یکی از کلیدهای اصلی موفقیت است.
#آکادمی_روزبه
هاب انتقال تجربیات عملیاتی
عزیزان بسیاری در SOC های کشور درحال انجام وظایف خطیر هستند که بعضا منجر به کشف های بدیع و جالب میگردد.
اما نکته مهم آن است که اشتراک تجربیات به میزان کمی صورت می‌پذیرد. دلیل آن را نمی‌خواهم بشکافم ولی ترجیح میدهم هم به همکاران هم به مدیران آنها توصیه به اشتراک دانش داشته باشم.
خودم درحد توان که باشه ، تجربیاتی که مشکل امنیتی نداشته داشته باشه رو برای انتقال تجربیات اینجا میگذارم .
در یکی از پروژه‌های شکار تهدید اخیر، متوجه یک الگوی غیرعادی در لاگ‌های EDR شدم. یک پروسس سیستم مایکروسافت به‌نام werfault.exe --که در حالت عادی مسئول گزارش خطاها و ارسال آن به مایکروسافت است -- در حال برقراری ارتباط شبکه‌ای با یک دامنه ناشناس بود.
در نگاه اول، این رفتار می‌توانست یک خطای سیستمی عادی تلقی شود، اما بررسی دقیق‌تر مسیر اجرای پروسس نشان داد که فایل werfault.exe از مسیر پیش‌فرض ویندوز (C:\Windows\System32\) اجرا نشده، بلکه در یک مسیر مشکوک مانند C:\ProgramData\ قرار داشته است. این موضوع احتمال جعل یا سوءاستفاده عمدی را به‌شدت تقویت کرد.
با بازسازی زنجیره رویداد (Event Chain) مشخص شد که مهاجم از تکنیک DLL Sideloading بهره برده و werfault.exe را به‌عنوان یک LOLBAS برای اجرای لودر بدافزار استفاده کرده است. به دلیل اعتماد ذاتی بسیاری از راهکارهای امنیتی به این پروسس، فعالیت‌های مخرب آن از دید مکانیزم‌های پیشگیری عبور کرده بود.
در گام پایانی، با قرنطینه کردن فایل جعلی و مسدود کردن ارتباطات شبکه‌ای مرتبط، مسیر نفوذ مهاجم مسدود شد و IoCهای به‌دست‌آمده به تیم‌های Blue و Red جهت بهبود Playbookها و سناریوهای شبیه‌سازی ارسال گردید.
این تجربه بار دیگر ثابت کرد که در شکار تهدید، حتی «پروسس‌های آشنا» نیز می‌توانند میزبان فعالیت‌های بسیار مخرب باشند و تحلیل مبتنی بر ناهنجاری رفتاری یکی از کلیدهای اصلی موفقیت است.
#آکادمی_روزبه
هاب انتقال تجربیات عملیاتی
Comments
Be the first to add a comment
Log in to comment