უფაილო ფაილების იდენტიფიცირება: მეხსიერებაში მავნე პროგრამების აღმოჩენისა და შეჩერების სრული სახელმძღვანელო

დისკზე კვალის გარეშე მოქმედი შეტევები ბევრი უსაფრთხოების გუნდისთვის დიდ თავის ტკივილად იქცა, რადგან ისინი მთლიანად მეხსიერებაში სრულდება და ლეგიტიმურ სისტემურ პროცესებს იყენებს. აქედან გამომდინარე, მნიშვნელოვანია იცოდეთ როგორ ამოვიცნოთ ფაილების გარეშე ფაილები და დაიცვან თავი მათგან.

სათაურებისა და ტენდენციების გარდა, იმის გაგება, თუ როგორ მუშაობენ ისინი, რატომ არიან ისინი ასე მოუხელთებელი და რა ნიშნები გვაძლევს მათ აღმოჩენის საშუალებას, განსხვავებას ქმნის ინციდენტის შეკავებასა და დარღვევის გამო სინანულს შორის. შემდეგ სტრიქონებში ჩვენ გავაანალიზებთ პრობლემას და ვთავაზობთ... გადაწყვეტილებები.

რა არის ფაილების გარეშე მავნე პროგრამა და რატომ არის ის მნიშვნელოვანი?

 

ფაილების გარეშე მავნე პროგრამები არ არის კონკრეტული ოჯახი, არამედ მოქმედების ერთ-ერთი გზაა: მოერიდეთ შესრულებადი ფაილების დისკზე ჩაწერას ის იყენებს სისტემაში უკვე არსებულ სერვისებსა და ბინარულ ფაილებს მავნე კოდის გასაშვებად. ადვილად სკანირებადი ფაილის დატოვების ნაცვლად, თავდამსხმელი ბოროტად იყენებს სანდო უტილიტებს და მის ლოგიკას პირდაპირ ოპერატიულ მეხსიერებაში ტვირთავს.

ეს მიდგომა ხშირად შედის „მიწის ხარჯზე ცხოვრების“ ფილოსოფიაში: თავდამსხმელები ინსტრუმენტალიზებულად იყენებენ მშობლიური ინსტრუმენტები, როგორიცაა PowerShell, WMI, mshta, rundll32 ან სკრიპტირების ძრავები, როგორიცაა VBScript და JScript, რათა მიაღწიონ თავიანთ მიზნებს მინიმალური ხმაურით.

მის ყველაზე წარმომადგენლობით მახასიათებლებს შორის ჩვენ ვხვდებით: შესრულება არასტაბილურ მეხსიერებაში, დისკზე მცირე ან საერთოდ არარსებობა, სისტემური ხელმოწერით აღჭურვილი კომპონენტების გამოყენება და ხელმოწერაზე დაფუძნებული ძრავებისგან თავის არიდების მაღალი შესაძლებლობა.

მიუხედავად იმისა, რომ გადატვირთვის შემდეგ ბევრი დატვირთვა ქრება, ნუ მოტყუვდებით: მოწინააღმდეგეებს შეუძლიათ მდგრადობის დამყარება რეესტრის გასაღებების, WMI გამოწერების ან დაგეგმილი დავალებების გამოყენებით, დისკზე საეჭვო ბინარული ფაილების დატოვების გარეშე.

რატომ გვიჭირს ასე უფაილო ფაილების იდენტიფიცირება?

პირველი ბარიერი აშკარაა: შესამოწმებლად ანომალიური ფაილები არ არისხელმოწერებსა და ფაილების ანალიზზე დაფუძნებულ ტრადიციულ ანტივირუსულ პროგრამებს მანევრირების მცირე სივრცე აქვთ, როდესაც შესრულება ვალიდურ პროცესებშია და მავნე ლოგიკა მეხსიერებაშია.

მეორე უფრო დახვეწილია: თავდამსხმელები თავს უკან შენიღბავენ ლეგიტიმური ოპერაციული სისტემის პროცესებითუ PowerShell-ი ან WMI ყოველდღიურად გამოიყენება ადმინისტრირებისთვის, როგორ შეიძლება ნორმალური გამოყენების გარჩევა მავნე გამოყენებისგან კონტექსტისა და ქცევითი ტელემეტრიის გარეშე?

გარდა ამისა, კრიტიკული ხელსაწყოების ბრმად დაბლოკვა შეუძლებელია. PowerShell-ის ან Office მაკროების გამორთვამ შეიძლება ოპერაციები დააზიანოს. ეს სრულად არ უშლის ხელს ბოროტად გამოყენებასრადგან არსებობს მრავალი ალტერნატიული შესრულების გზა და ტექნიკა მარტივი ბლოკების გვერდის ავლით.

ყველაფერს რომ თავი დავანებოთ, პრობლემების თავიდან ასაცილებლად ღრუბელზე დაფუძნებული ან სერვერის მხრიდან აღმოჩენა უკვე გვიანია. პრობლემის რეალურ დროში ადგილობრივი ხილვადობის გარეშე... ბრძანების ხაზები, პროცესის ურთიერთობები და მოვლენების ჟურნალიაგენტს არ შეუძლია მომენტალურად შეამსუბუქოს მავნე ნაკადი, რომელიც დისკზე კვალს არ ტოვებს.

როგორ მუშაობს ფაილების გარეშე შეტევა დასაწყისიდან ბოლომდე

საწყისი წვდომა, როგორც წესი, ხდება იგივე ვექტორებით, როგორც ყოველთვის: ფიშინგი ოფისის დოკუმენტებთან რომლებიც ითხოვენ აქტიური კონტენტის ჩართვას, კომპრომეტირებულ საიტებზე ბმულების განთავსებას, დაუცველ აპლიკაციებში დაუცველობის გამოყენებას ან გაჟონილი ავტორიზაციის მონაცემების ბოროტად გამოყენებას RDP-ის ან სხვა სერვისების მეშვეობით წვდომისთვის.

შიგნით მოხვედრის შემდეგ, მოწინააღმდეგე ცდილობს დისკთან შეხების გარეშე შეასრულოს თამაში. ამისათვის ისინი აკავშირებენ სისტემის ფუნქციონალურობას: მაკროები ან DDE დოკუმენტებში რომლებიც ახორციელებენ ბრძანებების გაშვებას, RCE-სთვის გადავსების ექსპლუატაციას ან სანდო ბინარული ფაილების გამოძახებას, რომლებიც მეხსიერებაში კოდის ჩატვირთვისა და შესრულების საშუალებას იძლევა.

თუ ოპერაცია მოითხოვს უწყვეტობას, მუდმივი ფუნქციონირების განხორციელება შესაძლებელია ახალი შესრულებადი ფაილების განლაგების გარეშე: გაშვების ჩანაწერები რეესტრშიWMI გამოწერები, რომლებიც რეაგირებენ სისტემურ მოვლენებზე ან დაგეგმილ ამოცანებზე, რომლებიც გარკვეულ პირობებში იწვევენ სკრიპტებს.

შესრულების დადგენის შემდეგ, მიზანი განსაზღვრავს შემდეგ ნაბიჯებს: გვერდითი მოძრაობა, ექსფილტრაციის მონაცემებიეს მოიცავს ავტორიზაციის მონაცემების მოპარვას, RAT-ის გამოყენებას, კრიპტოვალუტების მაინინგს ან გამოსასყიდის მოთხოვნის შემთხვევაში ფაილის დაშიფვრის გააქტიურებას. ეს ყველაფერი, შესაძლებლობის შემთხვევაში, არსებული ფუნქციონალების გამოყენებით ხორციელდება.

მტკიცებულებების წაშლა გეგმის ნაწილია: საეჭვო ბინარული ფაილების არ ჩაწერით, თავდამსხმელი მნიშვნელოვნად ამცირებს გასაანალიზებელი არტეფაქტების რაოდენობას. მათი აქტივობის შერევა ჩვეულებრივ მოვლენებს შორის სისტემის და შესაძლებლობის შემთხვევაში დროებითი კვალის წაშლა.

ტექნიკა და ინსტრუმენტები, რომლებსაც ისინი ჩვეულებრივ იყენებენ

კატალოგი ვრცელია, მაგრამ ის თითქმის ყოველთვის მშობლიურ კომუნალურ სერვისებსა და სანდო მარშრუტებს ეხება. ესენი ყველაზე გავრცელებულია, რომელთა მიზანიც ყოველთვის... მეხსიერებაში შესრულების მაქსიმიზაცია და კვალის დაბინდვა:

• PowerShellძლიერი სკრიპტირება, Windows API-ებზე წვდომა და ავტომატიზაცია. მისი მრავალფუნქციურობა მას ფავორიტად აქცევს როგორც ადმინისტრირებისთვის, ასევე შეურაცხმყოფელი გამოყენებისთვის.
• WMI (Windows-ის მართვის ინსტრუმენტაცია)ის საშუალებას გაძლევთ, მოითხოვოთ და უპასუხოთ სისტემურ მოვლენებს, ასევე შეასრულოთ დისტანციური და ლოკალური მოქმედებები; სასარგებლოა მდგრადობა და ორკესტრირება.
• VBScript და JScriptძრავები, რომლებიც მრავალ გარემოში გვხვდება და სისტემის კომპონენტების მეშვეობით ლოგიკის შესრულებას უწყობს ხელს.
• mshta, rundll32 და სხვა სანდო ბინარული ფაილები: ცნობილი LoLBins, რომლებიც, სათანადოდ დაკავშირების შემთხვევაში, შეუძლიათ კოდის შესრულება არტეფაქტების დაკარგვის გარეშე დისკზე აშკარად ჩანს.
• აქტიური შინაარსის მქონე დოკუმენტებიOffice-ში მაკროები ან DDE-ები, ასევე გაფართოებული ფუნქციების მქონე PDF მკითხველები, შეიძლება მეხსიერებაში ბრძანებების გასაშვებად პლაცდარმის როლს ასრულებდნენ.
• Windows რეესტრი: თვითჩატვირთვის გასაღებები ან დატვირთვის დაშიფრული/დამალული საცავი, რომლებიც გააქტიურებულია სისტემის კომპონენტებით.
• პროცესებში შეკავება და ინექცია: გაშვებული პროცესების მეხსიერების სივრცის მოდიფიკაცია მასპინძლის მავნე ლოგიკა ლეგიტიმურ შესრულებად ფაილში.
• ოპერაციული ნაკრებები: დაზარალებულის სისტემაში დაუცველობების აღმოჩენა და მორგებული ექსპლოიტების განლაგება დისკზე შეხების გარეშე შესრულების მისაღწევად.

კომპანიებისთვის გამოწვევა (და რატომ არ არის საკმარისი მხოლოდ ყველაფრის დაბლოკვა)

გულუბრყვილო მიდგომა რადიკალურ ზომას გვთავაზობს: PowerShell-ის დაბლოკვას, მაკროების აკრძალვას, ბინარული ფაილების, მაგალითად rundll32-ის, თავიდან აცილებას. რეალობა უფრო ნიუანსირებულია: ამ ინსტრუმენტებიდან ბევრი აუცილებელია. ყოველდღიური IT ოპერაციებისა და ადმინისტრაციული ავტომატიზაციისთვის.

გარდა ამისა, თავდამსხმელები ეძებენ ხარვეზებს: სკრიპტირების ძრავის სხვა გზებით გაშვებას, გამოიყენეთ ალტერნატიული ასლებიშეგიძლიათ ლოგიკა სურათებში ჩაალაგოთ ან ნაკლებად მონიტორინგის ქვეშ მყოფ LoLBin-ებს მიმართოთ. უხეში ბლოკირება საბოლოოდ ხახუნს ქმნის სრული დაცვის უზრუნველყოფის გარეშე.

მხოლოდ სერვერის მხარეს ან ღრუბელზე დაფუძნებული ანალიზიც ვერ წყვეტს პრობლემას. მდიდარი საბოლოო წერტილის ტელემეტრიის გარეშე და თავად აგენტის რეაგირების უნარიგადაწყვეტილება დაგვიანებით მიიღება და პრევენცია შეუძლებელია, რადგან გარე განაჩენს უნდა დაველოდოთ.

ამასობაში, ბაზრის ანგარიშები დიდი ხანია მიუთითებს ამ სფეროში ძალიან მნიშვნელოვან ზრდაზე, პიკებით, სადაც PowerShell-ის ბოროტად გამოყენების მცდელობები თითქმის გაორმაგდა მოკლე პერიოდებში, რაც ადასტურებს, რომ ეს მოწინააღმდეგეებისთვის განმეორებადი და მომგებიანი ტაქტიკაა.

თანამედროვე ამოცნობა: ფაილიდან ქცევამდე

მთავარი ის კი არ არის, თუ ვინ ახორციელებს აღსრულებას, არამედ ის, თუ როგორ და რატომ. მონიტორინგი პროცესის ქცევა და მისი ურთიერთობები ეს გადამწყვეტია: ბრძანების ხაზი, პროცესის მემკვიდრეობა, მგრძნობიარე API ზარები, გამავალი კავშირები, რეესტრის მოდიფიკაციები და WMI მოვლენები.

ეს მიდგომა მკვეთრად ამცირებს თავის არიდების ზედაპირს: მაშინაც კი, თუ ჩართული ბინარული ფაილები შეიცვლება, თავდასხმის ნიმუშები მეორდება (სკრიპტები, რომლებიც იტვირთება და სრულდება მეხსიერებაში, LoLBin-ების ბოროტად გამოყენება, ინტერპრეტატორების გამოძახება და ა.შ.). ამ სკრიპტის ანალიზი და არა ფაილის „იდენტობის“ ანალიზი აუმჯობესებს ამოცნობას.

ეფექტური EDR/XDR პლატფორმები აკავშირებენ სიგნალებს ინციდენტების სრული ისტორიის აღსადგენად, რაც იდენტიფიცირებს ძირეული მიზეზი „გამოჩენილი“ პროცესის დადანაშაულების ნაცვლად, ეს ნარატივი აკავშირებს დანართებს, მაკროებს, ინტერპრეტატორებს, დატვირთვას და მუდმივობას მთელი ნაკადის შესამსუბუქებლად და არა მხოლოდ იზოლირებული ნაწილის.

ისეთი ჩარჩოების გამოყენება, როგორიცაა MITER AT&CK ის ხელს უწყობს დაკვირვებული ტაქტიკისა და ტექნიკის (TTP) რუკაზე დატანას და საფრთხეებზე ნადირობის წარმართვას საინტერესო ქცევებისკენ: შესრულება, დაჟინებული მუშაობა, თავდაცვის თავიდან აცილება, ავტორიზაციის წვდომა, აღმოჩენა, გვერდითი მოძრაობა და ექსფილტრაცია.

და ბოლოს, საბოლოო წერტილის რეაგირების ორკესტრირება დაუყოვნებლივი უნდა იყოს: მოწყობილობის იზოლირება, პროცესების დასრულება ჩართული, რეესტრში ან დავალებების დამგეგმავში ცვლილებების გაუქმება და საეჭვო გამავალი კავშირების დაბლოკვა გარე დადასტურების მოლოდინის გარეშე.

სასარგებლო ტელემეტრია: რას უნდა მივაქციოთ ყურადღება და როგორ მივცეთ პრიორიტეტები

სისტემის გადატვირთვის გარეშე აღმოჩენის ალბათობის გასაზრდელად, მიზანშეწონილია მაღალი ღირებულების სიგნალების პრიორიტეტულობა. ზოგიერთი წყარო და კონტროლი, რომელიც კონტექსტს იძლევა. კრიტიკულია ფაილების გარეშე ხმის:

• დეტალური PowerShell ჟურნალი და სხვა ინტერპრეტატორები: სკრიპტის ბლოკების ჟურნალი, ბრძანებების ისტორია, ჩატვირთული მოდულები და AMSI მოვლენები, როდესაც ეს შესაძლებელია.
• WMI საცავიინვენტარიზაცია და შეტყობინებები მოვლენების ფილტრების, მომხმარებლებისა და ბმულების შექმნის ან მოდიფიკაციის შესახებ, განსაკუთრებით მგრძნობიარე სახელთა სივრცეებში.
• უსაფრთხოების მოვლენები და Sysmon: პროცესის კორელაცია, გამოსახულების მთლიანობა, მეხსიერების ჩატვირთვა, ინექცია და დაგეგმილი დავალებების შექმნა.
• Red: ანომალიური გამავალი კავშირები, ბიკონინგი, დატვირთვის ჩამოტვირთვის ნიმუშები და ფარული არხების გამოყენება ექსფილტრაციისთვის.

ავტომატიზაცია ხელს უწყობს მარცვლეულის და ბზის გამოყოფას: ქცევაზე დაფუძნებული გამოვლენის წესები, დაშვებული სიები ლეგიტიმური ადმინისტრაცია და საფრთხის შესახებ ინფორმაციის მოწოდებით გამდიდრება ზღუდავს ცრუ დადებით შედეგებს და აჩქარებს რეაგირებას.

ზედაპირის პრევენცია და შემცირება

ერთი კონკრეტული ღონისძიება საკმარისი არ არის, თუმცა მრავალშრიანი დაცვა მნიშვნელოვნად ამცირებს რისკს. პრევენციული თვალსაზრისით, რამდენიმე ქმედება გამოირჩევა. ვექტორული ამოჭრა და მოწინააღმდეგისთვის ცხოვრებას უფრო ართულებს:

• მაკრო მენეჯმენტი: ნაგულისხმევად გამორთულია და დაშვებულია მხოლოდ აბსოლუტურად აუცილებელი და ხელმოწერილი შემთხვევების შემთხვევაში; დეტალური კონტროლი ჯგუფური პოლიტიკის მეშვეობით.
• ინტერპრეტატორებისა და LoLBin-ების შეზღუდვაAppLocker/WDAC-ის ან მისი ეკვივალენტის გამოყენებით, აკონტროლეთ სკრიპტები და შესრულების შაბლონები ყოვლისმომცველი ჟურნალირებით.
• პატჩები და შემსუბუქებები: დახურეთ ექსპლუატაციური დაუცველობები და გაააქტიურეთ მეხსიერების დაცვა, რომელიც ზღუდავს RCE-ს და ინექციებს.
• საიმედო ავთენტიფიკაციასაგარეო საქმეთა სამინისტროსა და ნულოვანი ნდობის პრინციპები რწმუნებათა სიგელების ბოროტად გამოყენების შესაჩერებლად გვერდითი მოძრაობის შემცირება.
• ცნობიერების ამაღლება და სიმულაციებიპრაქტიკული ტრენინგი ფიშინგზე, აქტიური შინაარსის მქონე დოკუმენტებსა და ანომალიური შესრულების ნიშნებზე.

ამ ზომებს ავსებს ტრაფიკისა და მეხსიერების ანალიზის გადაწყვეტილებები, რათა რეალურ დროში გამოავლინოს მავნე ქცევა, ასევე სეგმენტაციის პოლიტიკა და მინიმალური პრივილეგიები, რათა შეკავებულიყო ზემოქმედება, როდესაც რაღაც გამორჩა.

სერვისები და მიდგომები, რომლებიც მუშაობს

გარემოში, სადაც ბევრი საბოლოო წერტილია და მაღალი კრიტიკულობაა, მართული აღმოჩენისა და რეაგირების სერვისები 24/7 მონიტორინგი მათ დაამტკიცეს, რომ აჩქარებენ ინციდენტების შეკავებას. SOC-ის, EMDR/MDR-ის და EDR/XDR-ის კომბინაცია უზრუნველყოფს ექსპერტულ თვალთახედვას, მდიდარ ტელემეტრიას და კოორდინირებული რეაგირების შესაძლებლობებს.

ყველაზე ეფექტურმა პროვაიდერებმა ქცევაში გადასვლა ინტერნალიზებული აქვთ: მსუბუქი აგენტები, რომლებიც კორელაცია გაუკეთეთ აქტივობას ბირთვის დონეზეისინი აღადგენენ შეტევების სრულ ისტორიას და იყენებენ ავტომატურ შემარბილებელ ზომებს მავნე ჯაჭვების აღმოჩენისას, ცვლილებების გაუქმების შესაძლებლობით.

პარალელურად, საბოლოო წერტილების დაცვის პაკეტები და XDR პლატფორმები აერთიანებს ცენტრალიზებულ ხილვადობას და საფრთხეების მართვას სამუშაო სადგურებში, სერვერებზე, იდენტობებში, ელექტრონულ ფოსტასა და ღრუბელში; მიზანია მათი დემონტაჟი. შეტევის ჯაჭვი მიუხედავად იმისა, ფაილებია თუ არა ჩართული.

საფრთხეზე ნადირობის პრაქტიკული ინდიკატორები

თუ ძიების ჰიპოთეზების პრიორიტეტულობა გიწევთ, ყურადღება სიგნალების გაერთიანებაზე გაამახვილეთ: საოფისე პროცესი, რომელიც უჩვეულო პარამეტრების მქონე ინტერპრეტატორს იწყებს, WMI გამოწერის შექმნა დოკუმენტის გახსნის შემდეგ, გაშვების გასაღებების მოდიფიკაციები, რასაც მოჰყვება ცუდი რეპუტაციის მქონე დომენებთან დაკავშირება.

კიდევ ერთი ეფექტური მიდგომაა თქვენი გარემოდან საბაზისო ხაზებზე დაყრდნობა: რა არის ნორმალური თქვენს სერვერებსა და სამუშაო სადგურებზე? ნებისმიერი გადახრა (ახლად ხელმოწერილი ბინარული ფაილები, რომლებიც ინტერპრეტატორების მშობლებად ჩნდება) შესრულების უეცარი მატება (სკრიპტების, დაბინდული ბრძანების სტრიქონების) შესწავლას იმსახურებს.

და ბოლოს, არ დაგავიწყდეთ მეხსიერება: თუ გაქვთ ინსტრუმენტები, რომლებიც ამოწმებენ გაშვებულ რეგიონებს ან იღებენ სნეპშოთებს, RAM-ში აღმოჩენები ისინი შეიძლება იყვნენ ფაილების გარეშე აქტივობის საბოლოო მტკიცებულება, განსაკუთრებით მაშინ, როდესაც ფაილურ სისტემაში არტეფაქტები არ არის.

ამ ტაქტიკის, ტექნიკისა და კონტროლის კომბინაცია საფრთხეს არ გამორიცხავს, ​​მაგრამ უკეთეს მდგომარეობაში გაყენებთ მისი დროულად აღმოსაჩენად. ჯაჭვის გაჭრა და შეამციროს ზემოქმედება.

როდესაც ეს ყველაფერი გონივრულად გამოიყენება — საბოლოო წერტილებით მდიდარი ტელემეტრია, ქცევითი კორელაცია, ავტომატური რეაგირება და შერჩევითი გამკვრივება — ფაილების გარეშე ტაქტიკა თავისი უპირატესობის დიდ ნაწილს კარგავს. და, მიუხედავად იმისა, რომ ის განაგრძობს განვითარებას, ქცევებზე ფოკუსირება ფაილებში არსებულის ნაცვლად, ის თქვენი თავდაცვის განვითარების მყარ საფუძველს სთავაზობს.