#تجربه

برای امکان درج تجربه ، برخی از عناصر تحلیل رو اجبارا حذف کردم

چند وقت پیش توی یکی از پایش های مقدمه هانت، تصمیم گرفتم تمرکز رو روی داده‌های Prefetch بگذارم. با استفاده از ابزارهایی مثل Velociraptor و Kansa/KAPE تونستم این داده‌ها رو جمع‌آوری کنم. همونطور که می‌دونید، Prefetch برای پیدا کردن نقطه‌ی محوری مثل زمان اجرا یا مسیر فایل خیلی کاربردیه و مهاجم‌ها هم به راحتی نمی‌تونند ردش رو کاملاً پاک کنند.
توی تحلیل، با کمک ابزار PECmd.exe از مجموعه‌ی Zimmerman متوجه شدم که یک LOLBAS غیرعادی با استفاده از  مثلا tttracer.exe - که در دوره های سنز هم امده - یک برنامه‌ی ساده مثل calc.exe رو اجرا کرده. این تکنیک رو معمولاً مهاجم‌ها استفاده می‌کنن تا بتونن محدودیت‌های اجرای اپلیکیشن رو دور بزنن و کد رو از مسیرهای غیرعادی اجرا کنن.
با کمی دقیق شدن روی Prefetch، چند چیز برام جلب توجه کرد:
مسیر اجرای فایل‌ها غیرعادی بود: C:\Windows\System32\spool\drivers\color\ که یک مسیر شناخته‌شده برای سوءاستفاده‌ست، چون معمولاً قابل نوشتن و در محیط‌های محدود هم قابل اجراست.
در Command Line دو فایل اجرایی پشت سر هم دیده می‌شد که خیلی رایج نیست.
دستور اجرا شده مثلا این بود:

C:\Windows\System32\spool\drivers\color  tttracer.exe C:\windows\system32\calc.exe

همین رد کوچک برای من کافی بود تا ادامه‌ی بررسی رو جدی بگیرم؛ چون حتی گروه‌های پیشرفته‌ی تهدید هم گاهی اشتباهاتی مثل این دارن که بخشی از PoC یا تست خودشون رو ناخواسته وارد حمله واقعی می‌کنن. اجرای غیرمعمول calc.exe برای من یک نشانه‌ی عالی برای ادامه‌ی Threat Hunting شد.

ادامه مراحل فعلا قابل انتشار نیست .(رعایت اصول امنیتی در انتشار مطالب جزو الزامات است )

تاکید من در این تجربه بر مهم بودن توجه به Prefetch است که میتونه سرنخ رو بهتون بده



نکته: قضیه Calc.exe رو گرفتین ؟ 😉

تبصره: اشتراک دانش بخشی از زندگی منه . لذا ممکنه واسه برخی از افراد ، درج چنین تجربیاتی عجیب باشه



#آکادمی_روزبه
مرکز تخصصی CISSP