Comhaid gan chomhad a aithint: treoir iomlán chun malware a bhrath agus a stopadh sa chuimhne

Tá ionsaithe a oibríonn gan rian a fhágáil ar dhiosca ina gcúis mhór tinneas cinn do go leor foirne slándála toisc go ndéantar iad a fhorghníomhú go hiomlán sa chuimhne agus go mbaintear leas as próisis chórais dhlisteanacha. Dá bhrí sin tá sé tábhachtach a bheith ar an eolas faoi... conas comhaid gan chomhad a aithint agus iad féin a chosaint ina gcoinne.

Thar cheannlínte agus treochtaí, is é an difríocht idir eachtra a choinneáil faoi smacht agus aiféala a bheith orainn faoi shárú ná tuiscint a fháil ar an gcaoi a n-oibríonn siad, cén fáth a bhfuil siad chomh deacair a aimsiú, agus na comharthaí a ligeann dúinn iad a bhrath. Sna línte seo a leanas, déanaimid anailís ar an bhfadhb agus molaimid... réitigh.

Cad is malware gan chomhad ann agus cén fáth go bhfuil sé tábhachtach?

 

Ní teaghlach ar leith é malware gan chomhad, ach bealach oibríochta: Seachain comhaid inrite a scríobh chuig diosca Úsáideann sé seirbhísí agus comhaid dhénártha atá i láthair cheana féin sa chóras chun cód mailíseach a fhorghníomhú. In ionad comhad atá furasta a scanadh a fhágáil, déanann an t-ionsaitheoir mí-úsáid de fhóntais iontaofa agus luchtóidh sé a loighic go díreach isteach sa RAM.

Is minic a chuimsítear an cur chuige seo i bhfealsúnacht 'Maireachtáil as an Talamh': úsáideann ionsaitheoirí uirlis uirlisí dúchasacha ar nós PowerShell, WMI, mshta, rundll32 nó innill scriptithe cosúil le VBScript agus JScript chun a gcuid spriocanna a bhaint amach le torann íosta.

I measc a ghnéithe is ionadaíche a fheicimid: forghníomhú i gcuimhne luaineach, beagán nó gan aon bhuansheasmhacht ar dhiosca, úsáid comhpháirteanna sínithe ag an gcóras agus ardacmhainneacht seachanta i gcoinne innill bunaithe ar shínithe.

Cé go n-imíonn go leor ualaí tar éis atosú, ná lig do mhealladh dul i bhfeidhm ort: is féidir le naimhde buanseasmhacht a bhunú trí úsáid a bhaint as eochracha Clárlainne, síntiúis WMI, nó tascanna sceidealaithe, gan comhaid dhénártha amhrasacha a fhágáil ar an diosca.

Cén fáth a bhfuil sé chomh deacair dúinn comhaid gan chomhad a aithint?

Tá an chéad bhac soiléir: Níl aon chomhaid neamhghnácha le hiniúchadhIs beag an deis atá ag cláir fhrithvíreas traidisiúnta atá bunaithe ar shínithe agus anailís comhad nuair a bhíonn an fhorghníomhú i bpróisis bhailí agus loighic mailíseach sa chuimhne.

Tá an dara ceann níos caolchúisí: déanann na hionsaitheoirí iad féin a dhuilléadú taobh thiar de próisis chórais oibriúcháin dhlisteanachaMá úsáidtear PowerShell nó WMI go laethúil le haghaidh riaracháin, conas is féidir leat idirdhealú a dhéanamh idir gnáthúsáid agus úsáid mhailíseach gan chomhthéacs agus teileamaitríocht iompraíochta?

Ina theannta sin, ní féidir uirlisí ríthábhachtacha a bhac go dall. Is féidir le macraí PowerShell nó Office a dhíchumasú ar fud na tíre oibríochtaí a chur as feidhm agus Ní chuireann sé cosc ​​iomlán ar mhí-úsáidmar go bhfuil roinnt cosán forghníomhaithe agus teicnící malartacha ann chun bloic shimplí a sheachaint.

Agus an barr feabhais air sin ar fad, bíonn sé rómhall braite scamallbhunaithe nó braite taobh an fhreastalaí chun fadhbanna a chosc. Gan infheictheacht áitiúil fíor-ama ar an gceist... línte ordaithe, caidrimh phróisis, agus imeachtaí logálaNí féidir leis an ngníomhaire sreabhadh mailíseach nach bhfágann aon rian ar an diosca a mhaolú de thaisme.

Conas a oibríonn ionsaí gan chomhad ó thús go deireadh

De ghnáth, tarlaíonn rochtain tosaigh leis na veicteoirí céanna agus a tharlaíonn i gcónaí: fioscaireachta le doiciméid oifige a iarrann ábhar gníomhach a chumasú, naisc chuig suíomhanna atá i mbaol, leas a bhaint as leochaileachtaí in feidhmchláir nochta, nó mí-úsáid dintiúir sceite chun rochtain a fháil trí RDP nó seirbhísí eile.

Nuair a bhíonn an comhraic istigh, déanann siad iarracht an diosca a fhorghníomhú gan teagmháil a dhéanamh leis. Chun seo a dhéanamh, déanann siad feidhmiúlachtaí an chórais a shlabhrú le chéile: macraí nó DDE i ndoiciméid a sheolann orduithe, a shaothraíonn róshreabhadh le haghaidh RCE, nó a ghlaoann comhaid dhénártha iontaofa a cheadaíonn cód a luchtú agus a fhorghníomhú sa chuimhne.

Más gá leanúnachas don oibríocht, is féidir buanseasmhacht a chur i bhfeidhm gan comhaid inrite nua a imscaradh: iontrálacha tosaithe sa ChlárlannSíntiúis WMI a imoibríonn le himeachtaí córais nó le tascanna sceidealaithe a spreagann scripteanna faoi choinníollacha áirithe.

Agus an forghníomhú socraithe, deir an cuspóir na céimeanna seo a leanas: bogadh go cliathánach, sonraí eisfhearadhÁirítear leis seo dintiúir a ghoid, RAT a imscaradh, cripte-airgeadraí a mhianadóireacht, nó criptiú comhad a ghníomhachtú i gcás ransomware. Déantar é seo go léir, nuair is féidir, trí úsáid a bhaint as feidhmiúlachtaí atá ann cheana féin.

Tá baint fianaise mar chuid den phlean: trí gan comhaid dhénártha amhrasacha a scríobh, laghdaíonn an t-ionsaitheoir go suntasach na déantáin atá le hanailísiú. a ngníomhaíocht a mheascadh idir gnáthimeachtaí an chórais agus rianta sealadacha a scriosadh nuair is féidir.

Teicnící agus uirlisí a úsáideann siad de ghnáth

Tá an chatalóg fairsing, ach is beagnach i gcónaí a dhíríonn sé ar fhóntais dhúchasacha agus ar bhealaí iontaofa. Seo cuid de na cinn is coitianta, agus an sprioc i gcónaí acu... uasmhéadú a dhéanamh ar fhorghníomhú sa chuimhne agus doiléir an rian:

• PowerShellScriptiú cumhachtach, rochtain ar APIanna Windows, agus uathoibriú. A bhuíochas dá sholúbthacht, is rogha iontach é le haghaidh riaracháin agus mí-úsáide maslach araon.
• WMI (Ionstraiméireacht Bhainistíochta Windows)Ligeann sé duit fiosrúcháin a dhéanamh agus freagairt a thabhairt ar imeachtaí córais, chomh maith le gníomhartha iargúlta agus áitiúla a dhéanamh; úsáideach do buanseasmhacht agus orchestraíocht.
• VBScript agus JScriptinnill atá i láthair i go leor timpeallachtaí a éascaíonn forghníomhú loighce trí chomhpháirteanna córais.
• mshta, rundll32 agus comhaid dhénártha iontaofa eilena LoLBins aitheanta a fhéadann, nuair a bhíonn siad nasctha i gceart, cód a fhorghníomhú gan déantáin a chailleadh le feiceáil ar an diosca.
• Doiciméid a bhfuil ábhar gníomhach iontuIs féidir le macraí nó DDE in Office, chomh maith le léitheoirí PDF le gnéithe ardleibhéil, feidhmiú mar chlár preab chun orduithe a sheoladh sa chuimhne.
• Clárlann Windowseochracha féintosaithe nó stóráil chriptithe/i bhfolach ualaí a ghníomhaíonn comhpháirteanna córais.
• Urghabháil agus instealladh i bpróisismodhnú ar spás cuimhne na bpróiseas reatha le haghaidh loighic mailíseach óstach laistigh de chomhad inrite dlisteanach.
• Trealamh oibriúcháin: braiteadh leochaileachtaí i gcóras an íospartaigh agus imscaradh leasuithe saincheaptha chun forghníomhú a bhaint amach gan teagmháil a dhéanamh leis an diosca.

An dúshlán atá roimh chuideachtaí (agus cén fáth nach leor gach rud a bhac)

Tugann cur chuige naive le fios go gcaithfí beart radacach a dhéanamh: PowerShell a bhlocáil, macraí a thoirmeasc, agus comhaid dhénártha cosúil le rundll32 a chosc. Tá an réaltacht níos casta: Tá go leor de na huirlisí seo riachtanach. le haghaidh oibríochtaí laethúla TF agus le haghaidh uathoibriú riaracháin.

Ina theannta sin, bíonn ionsaitheoirí ag lorg bealaí éalaithe: an t-inneall scriptithe a rith ar bhealaí eile, úsáid cóipeanna malartachaIs féidir leat loighic a phacáistiú i bhfoirm íomhánna nó dul i muinín LoLBins nach bhfuil chomh monatóireachta céanna. Cruthaíonn blocáil bhrúidiúil frithchuimilt sa deireadh gan cosaint iomlán a sholáthar.

Ní réitíonn anailís taobh an fhreastalaí nó anailís scamallbhunaithe an fhadhb ach an oiread. Gan teileamaitríocht chríochphointe shaibhir agus gan freagrúlacht sa ghníomhaire féinTagann an cinneadh go déanach agus ní féidir cosc ​​a chur air mar go gcaithfimid fanacht le breithiúnas seachtrach.

Idir an dá linn, tá tuairiscí margaidh ag léiriú le fada an lá go bhfuil fás an-suntasach sa réimse seo, le buaicphointí ina bhfuil an Beagnach dúbailt ar iarrachtaí chun PowerShell a mhí-úsáid i dtréimhsí gearra, rud a dhearbhaíonn gur cleas athfhillteach agus brabúsach é do naimhde.

Brath nua-aimseartha: ó chomhad go hiompar

Ní hé cé a fhorghníomhaíonn an rud is tábhachtaí, ach conas agus cén fáth. iompar próisis agus a chaidrimh Tá sé cinntitheach: líne ordaithe, oidhreacht phróisis, glaonna API íogaire, naisc amach, modhnuithe ar an gClárlann, agus imeachtaí WMI.

Laghdaíonn an cur chuige seo an dromchla seachanta go mór: fiú má athraíonn na comhaid dhénártha atá i gceist, an déantar patrúin ionsaithe a athdhéanamh (scripteanna a íoslódálann agus a fhorghníomhaítear sa chuimhne, mí-úsáid LoLBins, glaoch ar ateangairí, srl.). Feabhsaítear an bhrath trí anailís a dhéanamh ar an script sin, ní ar 'chéannacht' an chomhaid.

Déanann ardáin EDR/XDR éifeachtacha comharthaí a chomhghaolú chun stair iomlán na dteagmhas a atógáil, ag sainaithint an bhunchúis In ionad an próiseas a 'tháinig chun cinn' a lochtú, nascann an scéal seo ceangaltáin, macraí, ateangairí, ualaí oibre, agus buanseasmhacht chun an sreabhadh iomlán a mhaolú, ní hamháin píosa aonraithe.

Cur i bhfeidhm creatlach amhail MITER ATT&CK Cuidíonn sé le teicnící agus bearta breathnaithe (TTPanna) a mhapáil agus treoir a thabhairt do sheilg bhagairtí i dtreo iompraíochtaí spéise: forghníomhú, buanseasmhacht, seachaint cosanta, rochtain dintiúir, fionnachtain, gluaiseacht cliathánach agus eastóscadh.

Ar deireadh, ní mór don fhreagra críochphointe a bheith láithreach: an gléas a leithlisiú, próisis deiridh i gceist, athruithe sa Chlárlann nó sa sceidealóir tascanna a aisiompú agus naisc amach amhrasacha a bhac gan fanacht le deimhnithe seachtracha.

Teiliméadracht úsáideach: cad ba cheart breathnú air agus conas tosaíocht a thabhairt

Chun an dóchúlacht braite a mhéadú gan an córas a sháithiú, moltar tosaíocht a thabhairt do chomharthaí ardluacha. Roinnt foinsí agus rialuithe a sholáthraíonn comhthéacs. ríthábhachtach do dhaoine gan chomhad fuaime:

• Log PowerShell Mionsonraithe agus léirmhínitheoirí eile: log bloc scripte, stair orduithe, modúil luchtaithe, agus imeachtaí AMSI, nuair is féidir.
• Stór WMIFardal agus foláireamh maidir le cruthú nó modhnú scagairí imeachtaí, tomhaltóirí agus naisc, go háirithe i spásanna ainm íogaire.
• Imeachtaí slándála agus Sysmon: comhghaol próisis, sláine íomhá, luchtú cuimhne, instealladh, agus cruthú tascanna sceidealaithe.
• Red: naisc amach neamhghnácha, rabhchánú, patrúin íoslódála ualaigh, agus úsáid bealaí rúnda le haghaidh eisceachtaithe.

Cuidíonn uathoibriú leis an gcruithneacht a dheighilt ón ngrán: rialacha braite bunaithe ar iompar, liostaí ceadanna le haghaidh riarachán dlisteanach agus cuireann saibhriú le faisnéis faoi bhagairt teorainn le torthaí dearfacha bréagacha agus luasghéaraíonn sé an freagairt.

Cosc agus laghdú ar dhromchla

Ní leor aon bheart amháin, ach laghdaíonn cosaint shrathach an riosca go mór. Ar an taobh coisctheach, seasann roinnt línte gníomhaíochta amach. veicteoirí barra agus saol níos deacra a dhéanamh don namhaid:

• Bainistíocht macra: díchumasaigh de réir réamhshocraithe agus ní cheadaítear ach amháin nuair is gá agus nuair a shínítear é; rialuithe mionsonraithe trí bheartais ghrúpa.
• Srianadh ar ateangairí agus ar LoLBinsCuir AppLocker/WDAC nó a chomhionann i bhfeidhm, rialú scripteanna agus teimpléid fhorghníomhaithe le logáil chuimsitheach.
• Paistí agus maoluitheleochaileachtaí in-shaothraithe a dhúnadh agus cosaintí cuimhne a ghníomhachtú a chuireann teorainn le RCE agus instealltaí.
• Fíordheimhniú láidirPrionsabail MFA agus nial-iontaobhais chun mí-úsáid dintiúir a chosc agus gluaiseacht cliathánach a laghdú.
• Feasacht agus insamhaltaíoiliúint phraiticiúil ar fhioscaireacht, doiciméid a bhfuil ábhar gníomhach iontu agus comharthaí forghníomhaithe neamhghnácha.

Cuirtear leis na bearta seo réitigh a dhéanann anailís ar thrácht agus ar chuimhne chun iompar mailíseach a aithint i bhfíor-am, chomh maith le... beartais deighilte agus pribhléidí íosta chun an tionchar a choinneáil nuair a shleamhnaíonn rud éigin tríd.

Seirbhísí agus cur chuige atá ag obair

I dtimpeallachtaí ina bhfuil go leor críochphointí agus ardchriticiúlacht, seirbhísí braite agus freagartha bainistithe le Monatóireacht 24/7 Tá sé cruthaithe go luasghéaraíonn siad smachtú teagmhas. Soláthraíonn an meascán de SOC, EMDR/MDR, agus EDR/XDR súile saineolaithe, teileamaitreacht shaibhir, agus cumais freagartha comhordaithe.

Tá na soláthraithe is éifeachtaí tar éis an t-athrú i dtreo iompair a inmheánú: gníomhairí éadroma a gníomhaíocht chomhghaolmhar ag leibhéal an eithneAthchruthaíonn siad stair iomlán na n-ionsaithe agus cuireann siad maoluithe uathoibríocha i bhfeidhm nuair a bhraitear slabhraí mailíseacha, le cumas rolladh siar chun athruithe a chealú.

Ag an am céanna, comhtháthaíonn sraitheanna cosanta críochphointí agus ardáin XDR infheictheacht láraithe agus bainistíocht bhagairtí ar fud stáisiúin oibre, freastalaithe, céannachtaí, ríomhphoist agus an scamall; is é an sprioc ná iad a dhíchóimeáil. an slabhra ionsaithe is cuma an bhfuil comhaid i gceist nó nach bhfuil.

Táscairí praiticiúla le haghaidh fiach bagairtí

Más gá duit tosaíocht a thabhairt do hipitéisí cuardaigh, dírigh ar chomharthaí a chomhcheangal: próiseas oifige a sheolann ateangaire le paraiméadair neamhghnácha, Cruthú síntiús WMI Tar éis doiciméad a oscailt, déantar modhnuithe ar eochracha tosaithe agus ina dhiaidh sin naisc le fearainn a bhfuil drochcháil orthu.

Cur chuige éifeachtach eile is ea brath ar bhunlínte ó do thimpeallacht: cad atá gnáth ar do fhreastalaithe agus do stáisiúin oibre? Aon diall (comhaid dhénártha nua-shínithe le feiceáil mar thuismitheoirí léirmhínitheoirí, borrtha tobann i bhfeidhmíocht (de scripteanna, teaghráin orduithe le doiléiriú) is fiú imscrúdú a dhéanamh air.

Ar deireadh, ná déan dearmad ar an gcuimhne: má tá uirlisí agat a dhéanann iniúchadh ar réigiúin reatha nó a ghabhann pictiúir snapshots, na torthaí i RAM Is féidir leo a bheith ina gcruthúnas cinntitheach ar ghníomhaíocht gan chomhad, go háirithe nuair nach bhfuil aon artifachtaí sa chóras comhad.

Ní chuireann teaglaim na mbeart, na dteicnící agus na rialuithe seo deireadh leis an mbagairt, ach cuireann sé tú i riocht níos fearr chun í a bhrath in am. gearr an slabhra agus an tionchar a laghdú.

Nuair a chuirtear seo go léir i bhfeidhm go ciallmhar—teileiméadracht shaibhir críochphointí, comhghaol iompraíochta, freagairt uathoibrithe, agus cruaiteadh roghnach—caillfidh an tactic gan chomhad cuid mhór dá bhuntáiste. Agus, cé go leanfaidh sé ag forbairt, an fócas ar iompraíochtaí Seachas a bheith i gcomhaid, cuireann sé bunús láidir ar fáil do do chosaint chun forbairt leis.