Nasîna pelên bê pel: rêbernameyek bêkêmasî ji bo tespîtkirin û rawestandina malware di bîrê de

Êrîşên ku bêyî ku şopek li ser dîskê bihêlin dixebitin, ji bo gelek tîmên ewlehiyê bûne serêşiyek mezin ji ber ku ew bi tevahî di bîrê de pêk tên û pêvajoyên pergalê yên rewa bikar tînin. Ji ber vê yekê girîngiya zanînê heye. meriv çawa pelên bê pel nas dike û xwe li dijî wan biparêzin.

Ji bilî sernivîs û trendan, têgihîştina ka ew çawa dixebitin, çima ew ewqas nezelal in, û kîjan nîşan dihêle ku em wan tespît bikin, ferqê di navbera kontrolkirina bûyerekê û poşmanbûna ji binpêkirinê de çêdike. Di rêzên jêrîn de, em pirsgirêkê analîz dikin û pêşniyar dikin çareseriyên.

Malwareya bê pel çi ye û çima girîng e?

 

Malwareya bê pel ne malbateke taybetî ye, lê belê rêbazeke xebitandinê ye: Ji nivîsandina pelên bicîhkirî li ser dîskê dûr bisekinin Ew ji bo bicîhanîna koda zirardar xizmet û pelên dualî yên ku berê di pergalê de hene bikar tîne. Li şûna ku pelek bi hêsanî were şopandin bihêle, êrîşkar amûrên pêbawer bi awayekî nebaş bikar tîne û mantiqa wê rasterast dixe nav RAMê.

Ev rêbaz pir caran di felsefeya 'Jiyana li ser Axê' de tê bicîhkirin: êrîşkar bi kar tînin amûrên xwemalî yên wekî PowerShell, WMI, mshta, û rundll32 an motorên nivîsandina skrîptê yên wekî VBScript û JScript da ku bi kêmtirîn deng bigihîjin armancên xwe.

Di nav taybetmendiyên wê yên herî nûner de em dibînin: bicîhanîn di bîra bêîstîqrar de, mayîndehiya hindik an jî tunebûna li ser dîskê, bikaranîna pêkhateyên bi îmzeya pergalê û kapasîteya bilind a xweparastinê li dijî motorên bi îmzeyê ve girêdayî.

Her çend gelek barkêş piştî ji nû ve destpêkirinê winda dibin jî, neyên xapandin: dijmin dikarin domdariyê ava bikin bi karanîna mifteyên Registry, abonetiyên WMI, an karên bernamekirî, hemî bêyî ku pelên binary ên gumanbar li ser dîskê werin hiştin.

Çima em dibînin ku tespîtkirina pelên bê pel ewqas dijwar e?

Astengiya yekem eşkere ye: Pelên anormal nînin ku werin vekolandinBernameyên antîvîrus ên kevneşopî yên ku li ser îmzeyan û analîza pelan ava dibin, dema ku pêkanîn di pêvajoyên derbasdar de bimîne û mantiqa xerabkar di bîrê de bimîne, ji bo manevrayê cîhek hindik heye.

Ya duyem naziktir e: êrîşkar xwe li pişt xwe vedişêrin. pêvajoyên pergala xebitandinê yên rewaGer PowerShell an WMI rojane ji bo rêveberiyê têne bikar anîn, hûn çawa dikarin karanîna normal ji karanîna xerabkar bêyî telemetrîya kontekst û tevgerî cuda bikin?

Herwiha, astengkirina amûrên krîtîk bi awayekî kor ne mimkûn e. Neçalakkirina makroyên PowerShell an Office li seranserê panelê dikare operasyonan têk bibe û Ew bi tevahî rê li ber destdirêjiyan nagireji ber ku gelek rê û teknîkên darvekirinê yên alternatîf hene ku ji blokên hêsan dûr bikevin.

Ji bilî vê, tespîtkirina li ser ewr an jî server-side ji bo pêşîgirtina li pirsgirêkan pir dereng e. Bêyî dîtina herêmî ya rast-dem a pirsgirêkê... xetên fermanan, têkiliyên pêvajoyê, û bûyerên tomarêAjan nikare di cih de herikîna xerabkar a ku li ser dîskê şopek nahêle sivik bike.

Êrîşeke bê pel ji destpêkê heta dawiyê çawa dixebite

Gihîştina destpêkê bi gelemperî bi heman vektoran wekî her carê çêdibe: phishing bi belgeyên ofîsê re ku ji bo çalakkirina naveroka çalak, girêdanên bi malperên xeternak re, bikaranîna qelsiyên di sepanên eşkerekirî de, an jî îstismara pêbaweriyên derketî ji bo gihîştina bi rêya RDP an karûbarên din daxwaz dikin.

Dema ku dikevin hundir, dijber bêyî ku dest bidin dîskê hewl dide ku îdamê bike. Ji bo vê yekê, ew fonksiyonên sîstemê bi hev ve girêdidin: makro an DDE di belgeyan de ku fermanan didin destpêkirin, overflowsan ji bo RCE bikar tînin, an jî binaryeyên pêbawer vedixwînin ku destûrê didin barkirin û bicîhanîna kodê di bîrê de.

Eger operasyon berdewamiyê hewce bike, berdewamî dikare bêyî bicihkirina pelên nû yên bicîhkirinê were bicîh kirin: tomarên destpêkirinê di Registry deAboneyên WMI yên ku di bin hin mercan de li hember bûyerên pergalê an karên bernamekirî bertek nîşan didin ku skrîptan çalak dikin.

Bi bicihanînê re, armanc gavên jêrîn destnîşan dike: bi alî ve biçin, daneyên derxistinêEv dizîna bawernameyan, bicihkirina RAT-ê, derxistina krîptopereyan, an jî çalakkirina şîfrekirina pelan di rewşa ransomware de vedihewîne. Ev hemû, dema ku gengaz be, bi karanîna fonksiyonên heyî têne kirin.

Rakirina delîlan beşek ji planê ye: bi nenivîsandina pelên dualî yên gumanbar, êrîşkar gelek kêm dike ku artefaktên ku werin analîzkirin. tevlihevkirina çalakiyên xwe di navbera bûyerên normal de yên pergalê û jêbirina şopên demkî dema ku gengaz be.

Teknîk û amûrên ku ew bi gelemperî bikar tînin

Katalog berfireh e, lê hema hema her gav li dora karûbarên xwemalî û rêyên pêbawer dizivire. Ev hin ji yên herî gelemperî ne, her gav bi armanca herî zêde pêkanîna di bîrê de û şopê nezelal bike:

• PowerShellSkrîptkirina bihêz, gihîştina API-yên Windows-ê, û otomasyon. Pirrengiya wê wê dike bijareyek hem ji bo rêveberiyê û hem jî ji bo îstismara êrîşkar.
• WMI (Windows Management Instrumentation)Ew dihêle hûn li bûyerên pergalê bipirsin û bertek nîşanî wan bidin, û her weha çalakiyên ji dûr ve û herêmî pêk bînin; ji bo kêrhatî ye domdarî û orkestrasyonê.
• VBScript û JScriptmotorên ku di gelek jîngehan de hene û pêkanîna mentiqê bi rêya pêkhateyên pergalê hêsantir dikin.
• mshta, rundll32 û dubareyên din ên pêbawer: LoLBinên navdar ên ku, dema ku bi rêkûpêk werin girêdan, dikarin kodê bêyî avêtina artefaktan bicîh bîne li ser dîskê diyar e.
• Belgeyên bi naveroka çalakMakro an DDE di Office de, û her weha xwendevanên PDF-ê yên bi taybetmendiyên pêşkeftî, dikarin wekî tramplînek ji bo destpêkirina fermanan di bîrê de xizmet bikin.
• Registry Windowsmifteyên xwe-destpêkirinê an jî hilanîna şîfrekirî/veşartî ya barkêşan ku ji hêla pêkhateyên pergalê ve têne çalak kirin.
• Girtin û derzîkirin nav pêvajoyan: guherandina qada bîranînê ya pêvajoyên xebitandinê ji bo mantiqa xerabkar a mêvandar di nav peldankek bicîhkirî ya rewa de.
• Kitên xebitandinê: tespîtkirina lawaziyên di pergala mexdûr de û bicihkirina îstîsnayên taybet ji bo pêkanîna pêkanînê bêyî destdayîna dîskê.

Pirsgirêka ji bo şîrketan (û çima tenê astengkirina her tiştî têrê nake)

Nêzîkatiyeke saf tedbîrek tund pêşniyar dike: astengkirina PowerShell, qedexekirina makroyan, pêşîgirtina li dualîyên mîna rundll32. Rastî hinekî din zelaltir e: Gelek ji van amûrên pêwîst in. ji bo operasyonên rojane yên IT û ji bo otomatîkkirina rêveberiyê.

Wekî din, êrîşkar li qulên qanûnî digerin: motora skrîptê bi awayên din dixebitînin, kopiyên alternatîf bikar bîninTu dikarî mantiqê di wêneyan de pak bikî an jî LoLBinên kêmtir çavdêrîkirî bikar bînî. Astengkirina bi zorê di dawiyê de bêyî ku parastinek bêkêmasî peyda bike, dibe sedema aloziyê.

Analîza tenê ya server-side an jî ewr-based jî pirsgirêkê çareser nake. Bêyî telemetrîya dewlemend a xala dawî û bêyî bersivdayîna ajan bi xweBiryar dereng tê û pêşîgirtin ne mimkûn e ji ber ku divê em li benda biryarek derveyî bisekinin.

Di heman demê de, raporên bazarê demek dirêj e ku dest bi mezinbûnek pir girîng di vî warî de dikin, bi lûtkeyên ku Hewldanên ji bo îstismarkirina PowerShell hema hema du qat zêde bûn di demên kurt de, ku piştrast dike ku ew taktîkek dubarekirî û sûdmend e ji bo dijberan.

Tesbîtkirina Modern: ji pelê heta tevgerê

Mifte ne ew e ku kî darve dike, lê çawa û çima ye. Çavdêrîkirina tevgera pêvajoyê û têkiliyên wê Ew diyarker e: xeta fermanê, mîratgirtina pêvajoyê, bangên API-yên hesas, girêdanên derketinê, guhertinên Registry, û bûyerên WMI.

Ev rêbaz rûyê xapandinê bi awayekî berbiçav kêm dike: her çend dualîyên têkildar biguherin jî, şêwazên êrîşê dubare dibin (skrîptên ku di bîrê de têne daxistin û bicîhkirin, îstismara LoLBinan, gazîkirina wergêran, û hwd.). Analîzkirina wê skrîptê, ne 'nasnameya' pelê, tespîtkirinê baştir dike.

Platformên EDR/XDR yên bi bandor sînyalan ji bo ji nû ve avakirina dîroka bûyerê ya tevahî bi hev re têkildar dikin, û tespît dikin. sedema bingehîn Ev vegotin, li şûna ku pêvajoya ku 'xuya bûye' sûcdar bike, pêvek, makro, şîroveker, barkêş û berdewamiyê bi hev ve girêdide da ku tevahiya herikînê kêm bike, ne tenê perçeyek tenê.

Bikaranîna çarçoveyên wekî MITER AT&CK Ew dibe alîkar ku taktîk û teknîkên çavdêrîkirî (TTP) werin nexşekirin û nêçîra gefan ber bi tevgerên balkêş ve were rêber kirin: pêkanîn, berdewamî, xwe ji parastinê dûrxistin, gihîştina bawernameyan, vedîtin, tevgera alîgir û derxistin.

Di dawiyê de, orkestrasyona bersiva xala dawî divê tavilê be: cîhazê îzole bike, pêvajoyan bi dawî bikin beşdar bibin, guhertinên di Registry an jî plansazkera peywirê de vegerînin û girêdanên gumanbar ên derketinê bêyî ku li benda piştrastkirinên derveyî bin asteng bikin.

Telemetriya kêrhatî: li çi binêrin û çawa pêşîniyê bidin

Ji bo zêdekirina îhtîmala tespîtkirinê bêyî ku sîstem têr bibe, tê pêşniyar kirin ku pêşîniyê bidin sînyalên bi nirx bilind. Hin çavkanî û kontrolên ku çarçoveyê peyda dikin. girîng ji bo bê pel Ew jî ev in:

• Têketina PowerShell a Berfireh û şîrovekarên din: têketina bloka skrîptê, dîroka fermanan, modulên barkirî, û bûyerên AMSI, dema ku hebin.
• Depoya WMIEnvanter û hişyarî derbarê afirandin an guhertina fîlterên bûyeran, xerîdaran û girêdanan de, nemaze di navên cihê yên hesas de.
• Bûyerên Ewlehiyê û Sysmon: hevrêziya pêvajoyê, yekparçeyiya wêneyê, barkirina bîranînê, derzîkirin, û afirandina peywirên bernamekirî.
• Sor: girêdanên derketinê yên anormal, nîşanker, şêwazên dakêşana barê bikêr, û karanîna kanalên veşartî ji bo derxistinê.

Otomasyon dibe alîkar ku genim ji qalikê were veqetandin: qaîdeyên tespîtkirina li ser bingeha tevgerê, navnîşên destûrdayînê ji bo rêveberiya rewa û dewlemendkirina bi îstîxbarata gefê pozîtîfên derewîn sînordar dike û bersivdayînê leztir dike.

Pêşîlêgirtin û kêmkirina rûberê

Ti tedbîrek tenê têrê nake, lê parastineke qatqatî rîskê pir kêm dike. Ji aliyê pêşîlêgirtinê ve, çend rêzikên çalakiyê derdikevin pêş. vektorên çandiniyê û jiyanê ji bo dijmin dijwartir bikin:

• Rêveberiya makro: bi xwerû neçalak bike û tenê dema ku bi tevahî pêwîst û îmzekirî be destûr bide; kontrolên hûrgulî bi rêya polîtîkayên komê.
• Sînorkirina wergêr û LoLBinanKontrolkirina skrîpt û şablonên darvekirinê bi qeydkirina berfireh a AppLocker/WDAC an jî hevwateya wê bicîh bîne.
• Patchkirin û kêmkirin: lawaziyên bikêrhatî bigire û parastinên bîranînê yên ku RCE û derzîkirinan sînordar dikin çalak bike.
• Rastkirina xurtPrensîbên MFA û sifir baweriyê ji bo sînordarkirina îstismara bawernameyan û tevgera lateral kêm bike.
• Hişyarî û simulasyonPerwerdehiya pratîkî li ser phishing, belgeyên bi naveroka çalak, û nîşanên pêkanîna anormal.

Ev tedbîr bi çareseriyên ku trafîk û bîranînê analîz dikin da ku tevgerên xerabkar di wextê rast de nas bikin, û her weha têne temam kirin. polîtîkayên dabeşkirinê û îmtiyazên herî kêm ji bo kontrolkirina bandorê dema ku tiştek ji dest diçe.

Xizmet û rêbazên ku dixebitin

Di jîngehên bi gelek xalên dawî û krîtîkbûna bilind de, karûbarên tespîtkirin û bersivdayînê yên birêvebirî bi Çavdêriya 24/7 Wan îspat kiriye ku ew dikarin kontrolkirina bûyeran bileztir bikin. Têkeliya SOC, EMDR/MDR, û EDR/XDR çavên pispor, telemetrîya dewlemend, û kapasîteyên bersiva hevrêz peyda dike.

Pêşkêşkerên herî bibandor guhertina tevgerê navxweyî kirine: ajanên sivik ên ku çalakiya têkildar di asta kernel deEw dîrokên êrîşan bi tevahî ji nû ve ava dikin û dema ku zincîrên zirardar tesbît dikin, tedbîrên kêmkirina otomatîkî bicîh tînin, bi şiyana vegerandinê ji bo betalkirina guhertinan.

Bi heman awayî, pakêtên parastina xalên dawî û platformên XDR dîtina navendî û rêveberiya gefan li seranserê stasyonên kar, server, nasnameyan, e-name û ewr entegre dikin; armanc ew e ku were hilweşandin. zincîra êrîşê bêyî ku pelan tê de hebin an na.

Nîşaneyên pratîkî ji bo nêçîra gefê

Eger divê hûn hîpotezên lêgerînê bidin pêşiyê, li ser hevgirtina sînyalan bisekinin: pêvajoyek nivîsgehê ku wergêrek bi parametreyên neasayî dide destpêkirin, Afirandina abonetiya WMI Piştî vekirina belgeyekê, guhertinên li ser mifteyên destpêkê û dû re girêdanên bi domainên bi navûdengek xirab re.

Rêbazek din a bi bandor ew e ku meriv xwe bispêre xetên bingehîn ên ji hawîrdora xwe: li ser server û stasyonên we yên kar çi normal e? Her guherînek (pelên dualî yên nû îmzekirî wekî dêûbavên wergêran xuya dibin, bilindbûnên ji nişka ve yên performansê (ji skrîptan, rêzikên fermanan bi şaşîkirinê) hêjayî lêkolînê ye.

Di dawiyê de, bîrê ji bîr nekin: heke amûrên we hebin ku herêmên dixebitin kontrol dikin an wêneyên demkî digirin, encamên di RAM de Ew dikarin delîlên dawî yên çalakiya bê pel bin, nemaze dema ku di pergala pelan de ti artefakt tune bin.

Têkelkirina van taktîk, teknîk û kontrolê gefê ji holê ranake, lê ew we dixe rewşek çêtir da ku hûn wê di wextê xwe de tespît bikin. zincîrê bibire û bandorê kêm bike.

Dema ku ev hemû bi aqilane werin sepandin - telemetrîya dewlemend bi xalên dawî, korelasyona tevgerî, bersiva otomatîk, û hişkkirina bijartî - taktîka bê pel piraniya avantaja xwe winda dike. Û, her çend ew ê berdewam bike ku pêş bikeve, balkişandina ser reftaran Li şûna dosyayan, ew bingehek zexm pêşkêşî dike da ku parastina we pê re pêş bikeve.