К моему удивлению, было очень много положительного фидбека по выступлению на positive hack days в этом году

По его следам слепили с позитивами чуть более расширенную версию:
https://ptresearch.media/articles/top-10-artefaktov-linux-dlya-rassledovaniya-inczidentov

#basics #forensics #linux

Если вы не знаете, о чем говорит созданная служба BTOBTO или не можете с ходу определить тулзу по процессу с командной строкой типа cmd.exe /Q /c cd \ 1> \\127.0.0.1\ADMIN$\__ssssssssss.sssssss 2>&1), тогда я иду к вам
Часть лучших читшитов по детекту и обнаружению следов работы инструментов для удаленного выполнения команд:


https://www.unh4ck.com/detection-engineering-and-threat-hunting/lateral-movement/detecting-conti-cobaltstrike-lateral-movement-techniques-part-1
// cobalt strike built-in modules: jump psexec, psexec64, psexec_psh, winrm, winrm64

https://www.unh4ck.com/detection-engineering-and-threat-hunting/lateral-movement/detecting-conti-cobaltstrike-lateral-movement-techniques-part-2
// cobalt strike remote-exec: psexec, winrm, wmi

https://www.13cubed.com/downloads/impacket_exec_commands_cheat_sheet_poster.pdf
// impacket: atexec .py, dcomexec .py, psexec .py, smbexec .py, wmiexec .py. не могу не добавить, что канал 13Cubed Ричарда Дэвиса - это просто находка для будущих и настоящих форензиков

https://bczyz1.github.io/2021/01/30/psexec.html#metasploit
// metasploit: psexec

https://jpcertcc.github.io/ToolAnalysisResultSheet/ , раздел Execution
// psexec (sysinternals), wmic, schtasks, wmiexec.vbs, beginx, winrm, winrs, bits

#windows #forensics

Windows Forensic Analysis Poster (latest version from 02/2023)

На что стоит обратить внимание в первую очередь:
— новые источники артефактов, например, CapabilityAccessManager (execution), MS Word Reading Locations (file open), раздел Cloud Storage
— $ SI timestamps Win10 + Win11; тут правда еще большой вопросик, насколько последнее актуально для России (:
— подправили описание Shimcache и Amcache (evidence of presence on the system!)

#windows #forensics #tips

Mission completed! Certified forensic!!!!

Еще пару часов и я буду готова закидывать донаты создателю MemProcFS, инструмента для анализа оперативной памяти. Который раз убеждаюсь, что это просто GAME CHANGER

#soft

Здесь мог бы быть пост о необходимости понимания ландшафта угроз и вот этого всего, но выскажусь кратко о наболевшем

Иногда между тем, что хотят детектить в SOC, и что по факту происходит in the wild, просто катастрофическая пропасть. Помню, когда я перешла из in-house SOC в DFIR, где ты в основном подключаешься когда «уже все», я знатно удивилась (можно читать матом), что такое вообще ВОЗМОЖНО
Как-то мой хороший друг из моей же отрасли очень точно передал требования клиентов к этим самым SOC одной фразой: «я не хочу детектить угрозы, я хочу детектить пентест!»

Местами утрируя, но в итоге так оно и выходит,
мы ищем сто способов как детектировать голден тикет или не дай боже скелетон кей, а ломают через пароль администратора qwerty123 или Moscow2023! ко всем доступным ресурсам
мы сражаемся с DNS-туннелями, а атакующие просто копируют данные, захватив с собой EmEditor
мы смотрим 10 докладов о том, как же обнаружить руткита в системе, тем временем как в нашей сети уже давно орудуют администраторы вне штата

И фишка то как раз не в том, что детектить сложные техники не нужно (не говоря уже о том, чтобы просто мониторить и реально обрабатывать алерты СЗИ), а в том, что хотя бы иногда нужно просто оглянуться по сторонам

#own

Если кому интересно, написала тут в общих чертах по теме

https://habr.com/ru/companies/angarasecurity/articles/771610/

#own

Делали как-то презентацию клиентам, в которую я добавила вот такой слайд. А вы сможете понять, какие из установленных служб вредоносные, а какие - нет? :)

P.S. Потом верные ответы с меня

[1] Если вы хотя бы время от времени просматриваете журналы безопасности, вас этим не удивить: такого добра встроенный Защитник Windows генерит будь здоров (но мы все равно его очень любим, и это не сарказм!)

[2] По названию службы становится ясно, что она связана с южнокорейским антивирусным программным обеспечением. Хорошо. И вроде можно идти дальше, но.. подождите, а вы вообще часто видите использование этого программного продукта? И что, наверняка знаете, где лежат его бинари? Кажется, на этом моменте, на лице респондера появляется снисходительная улыбка, ведь тут еще и %PROGRAMDATA%, один из самых часто используемых каталогов злоумышленниками. Не так все просто, как казалось

[3] Вот тут, кстати, интересный случай. Ну скриншоттер и скриншоттер, местоположение вроде нормальное. И у яндекса действительно он есть (правда, если не ошибаюсь, встроенный в один из продуктов, но это неважно). А заметили ли вы заглавную букву D? Это очень наглядный случай, когда злоумышленники пытаются мимикрировать под широко известное имя, но не до конца шарят за нейминг. Не могу утверждать, что мы шарим, но, как по мне, очень бросается в глаза. Детали важны!

[4] Ничего необычного, Veeam действительно любит складывать некоторые исполняемые файлы в %SYSTEMROOT%. Если сомневаетесь, можете загуглить одноименную службу. Правда, тут вспоминается достаточно свежий кейс с Free Download Manager, когда пользователи на Reddit и StackOverflow чуть ли не два года обсуждали ошибки пробэкдоренного инсталлера. Очень забавно, однако все же будьте внимательнее. Гугл - это прекрасно (поистине считаю одним из суперважных скиллов), но не им единым :)

[5] На самом деле, мне прям нравится этот вариант! Хоть все и сразу догадались, что тут что-то неладное) А знаете, почему? Потому что изначально эта служба еще и была на сервере HPDM, предназначенного для управления устройствами. Не придерешься. Даже администратор очень едва ли такое заметит, но, как минимум, эта %APPDATA% выдает. Падазрительна

[6] Даже комментировать нечего, драйвер и драйвер, несмотря на казалось бы рандомщину в названии. Чем больше будете копаться в винде, тем больше таких "интересных" названий будете видеть. Есть несколько способов проверить подобное на базовом уровне: а) загуглить, б) проверить, есть ли такой драйвер у вас на чистой системе в) пробить по хэшу г) для некоторых системных файлов еще помогают сервисы типа echotrail

Ну что ж, итого, вредоносные службы под номерами 2,3,5. Более того, их даже объединяет используемая техника - DLL side-loading. Не будем пока вдаваться в ее детали и вопросы атрибуции (все и так все поняли), но на этом моменте сразу ясно, что сами файлы, используемые службой - вполне легитимные, и, к тому же, скорее всего подписанные. Вот только используются не по назначению
Писать можно много, ясно только одно. Насмотренность на зло решает и со временем однозначно вырабатывается (:

О, нет, он исчез!!

#meme

Вот такая романтика

Если вам тоже интересно послушать, вот, мне пока прям заходит

Резюмируя

Ну, начинать с харденинга ядра, а ближе к концу разбирать структуру сообщений сислога - это сильно 😅
В общей сложности, для тех, кто только погружается в тему безопасности линуксов - прям хорошо. Снова убеждаюсь, что по большей части мне нравится подача материала на митапах джетов: просто и по делу. От себя могу добавить еще пару достойных докладов с их последнего кэмпа

Настройка аудита Windows: эффективное детектирование атак
// эх, если бы к этому прислушивались все; а пока что большую часть этих и других рекомендаций мы выдаем уже после произошедшего инцидента

TOP-10 криминалистических артефактов Windows при расследовании инцидентов
// мне кажется, это лучшее исполнение десятки полезных артефактов по винде, которое могло бы быть :) правда, меня вот теперь тоже* триггерит, когда amcache относят к execution артефактам

Чертоги оперативной памяти: как проанализировать то, что пока не забыто
// 11 из 10! даже для тех, кто не понаслышке знаком с анализом оперативки, будет интересно как минимум в разрезе практических кейсов

#windows #forensics

Кстати! Как бы ни на что не намекая, но вдобавок еще закину репорт касперов, который они релизнули на прошлой неделе

#report

Минутка занимательных фактов
Ушла эпоха, в прямом и переносном смыслах :)

Утро начинается не с кофе,
а с подготовки презентации к докладу

Из описания:

Нельзя преуменьшить распространенность телеги в наше время, ведь тут все: и друзья, и работа, и «файлообменник с гигабайтами свежей информации». Неудивительно, что злоумышленники добрались и до него. В докладе расскажу:
- что и у любимой телеги есть свои нюансы,
- почему облачный пароль важен, но не всегда работает,
- наглядно продемонстрирую пример атаки, как все-таки крадут эти чертовы сессии?!
- разберем кейсы in the wild, а именно кто и как этим пользуется,
ну и, конечно же, что теперь с этим всем делать.

В общем, если выбирать тему, от неосвещенности которой хочется кричать, то это оно

На этой неделе прошел SOC Forum, наконец-таки досмотрела записи докладов. По традиции хотелось бы отдельно выделить наиболее интересные и полезные с моей колокольни:

Подводные камни экспертных утилит при работе SOC с инструментами (Максим Суханов, МТС RED)

Тренды атак 2022-2023 (Денис Кувшинов, Positive Technologies)

Как отличать хорошие киберразведданые от плохих? (Олег Скулкин, BI. ZONE)

Щелчок Таноса для оператора связи (Игорь Залевский, Solar 4RAYS)

Форензика в SOC и опыт расследований в 2023 (Артем Семагин, Jet CSIRT)

Даже не знаю, где вы еще найдете такую работу,
чтобы в рабочее время сидеть с серьезным выражением лица и собирать пазлы