Fa'ailoaina o faila e leai ni faila: o se ta'iala atoatoa i le su'esu'eina ma le taofia o mea leaga ile manatua

O osofa'iga e fa'agaoioia e aunoa ma le tu'u ai o se fa'ailoga i luga ole tisiki ua avea ma ma'i tiga tele mo le tele o 'au fa'asaogalemu ona o lo'o fa'atinoina atoa i le manatua ma fa'aogaina faiga fa'aletulafono. O le mea lea e taua ai le iloa auala e iloa ai faila faila ma puipuia i latou lava e faasaga ia i latou.

I tua atu o ulutala ma aga masani, malamalama i le auala latou te galulue ai, pe aisea ua matua le iloa ai, ma o a faailoga e mafai ai ona tatou iloa i latou e faia ai le eseesega i le va o le taofiofia o se mea na tupu ma le salamo i se soliga. I laina o loʻo mulimuli mai, matou te iloiloina le faʻafitauli ma faʻatonu vaifofo.

O le a le fileless malware ma aisea e taua ai?

 

O mea leaga e leai ni faila e le o se aiga patino, ae o se auala e faʻaogaina ai: Aloese mai le tusiaina o mea e mafai ona fai i le tisiki E fa'aogaina auaunaga ma binaries ua uma ona i ai i le faiga e fa'atino ai tulafono leaga. Nai lo le tuʻuina o se faila e faigofie ona suʻeina, e faʻaleagaina e le tagata osofaʻi mea aoga faʻatuatuaina ma faʻapipiʻi saʻo i le RAM.

O lenei faiga e masani ona aofia ai i le filosofia o le 'Living off the Land': o tagata osofaʻi e faʻaogaina meafaigaluega mea faigaluega masani e pei o le PowerShell, WMI, mshta, rundll32 po'o masini tusitusi e pei o le VBScript ma le JScript e ausia a latou sini ma sina pisa.

Faatasi ai ma ona foliga sili ona faʻaalia tatou te maua: fa'ataunu'u i mafaufauga fe'avea'i, itiiti pe leai foi i luga o le tisiki, faʻaogaina o vaega saini-faʻaogaina ma le maualuga o le mafai ona aloese mai afi faʻavae saini.

E ui lava ina mou atu le tele o uta pe a uma le toe faʻafouina, aua le faʻaseseina: e mafai e fili ona fa'amausaliina e ala i le fa'aogaina o ki o le Resitala, fa'ailoga WMI, po'o galuega fa'atulagaina, uma e aunoa ma le tu'u ai o binaries masalomia i luga o le tisiki.

Aisea tatou te faigata ai ona iloa faila e leai ni faila?

O le pa puipui muamua e iloagofie: E leai ni faila fa'aletonu e asiasiaO polokalame antivirus fa'aleaganu'u e fa'avae i luga o saini ma su'esu'ega faila e itiiti lava le avanoa e fa'agaoioia ai pe a fa'atinoina le fa'atinoga i faiga fa'aagaoioiga ma fa'amanino leaga e nofo i le manatua.

O le lona lua e sili atu ona maaleale: o le au osofaʻi e faʻafefe i latou lava i tua faiga fa'agaioiga fa'atulafonoinaAfai o le PowerShell poʻo le WMI e faʻaaogaina i aso uma mo le pulega, e faʻapefea ona e iloa le faʻaoga masani mai le faʻaoga leaga e aunoa ma le faʻamatalaga ma le telemetry amio?

E le gata i lea, o le poloka tauaso o meafaigaluega taua e le mafai. O le fa'agata o le PowerShell po'o le Ofisa macros i luga o le laupapa e mafai ona motusia galuega ma E le taofia atoatoa ai sauagaaua o lo'o i ai le tele o isi auala fa'atino ma auala e fa'afefe ai poloka faigofie.

E fa'asili uma, ua tuai tele le su'esu'eina o le ao po'o le itu e puipuia ai fa'afitauli. A aunoa ma le taimi moni e iloa atu i le lotoifale i le mataupu... laina fa'atonu, fa'agasologa o feso'ota'iga, ma fa'amaumauga o mea e tutupuE le mafai e le sooupu ona faʻaitiitia i luga ole lele se tafe leaga e leai se faʻailoga ile tisiki.

E fa'afefea ona galue se osofa'iga e leai ni faila mai le amataga e o'o i le fa'ai'uga

O le avanoa muamua e masani lava ona tupu i vete tutusa e pei ona masani ai: phishing ma pepa ofisa o lo'o fa'atonuina ina ia mafai ai ona fa'aagaaga mea, feso'ota'iga i nofoaga fa'aletonu, fa'aogaina o fa'aletonu i fa'amatalaga fa'aalia, po'o le fa'aleagaina o fa'ailoga ua lia'i e maua e ala i le RDP po'o isi auaunaga.

O le taimi lava i totonu, e taumafai le fili e fasioti e aunoa ma le paʻi i le disk. Ina ia faia lenei mea, latou te filifili faʻatasi galuega faʻaoga: macros poʻo DDE i pepa e fa'apolopolo tulafono, fa'aogaina le tele o mea mo RCE, po'o le fa'aogaina o binaries fa'atuatuaina e fa'atagaina ai le utaina ma le fa'atinoina o le code i le manatua.

Afai o le taotoga e manaʻomia le faʻaauau, e mafai ona faʻatinoina le faʻamalosi e aunoa ma le faʻaogaina o mea fou e mafai ona faʻatinoina: fa'ailoga amata ile Ofisa ResitalaO saofaga a le WMI e tali atu i mea faʻapitoa poʻo galuega faʻatulagaina e faʻaoso ai tusitusiga i lalo o nisi tulaga.

Faatasi ai ma le faʻatinoga ua faʻatulagaina, o le faʻamoemoe e faʻatonuina laasaga nei: faʻagasolo i tua, aveese fa'amatalagaE aofia ai le gaoi o faʻamaoniga, faʻapipiʻiina o se RAT, mining cryptocurrencies, poʻo le faʻagaoioia o faila faila i le tulaga o le ransomware. O nei mea uma e faia, pe a mafai, e ala i le faʻaogaina o galuega o loʻo iai.

O le aveeseina o faʻamaoniga o se vaega o le fuafuaga: e ala i le le tusiaina o binaries masalosalo, o le tagata osofaʻi e faʻaitiitia ai mea taua e suʻeina. fa'afefiloi a latou gaioiga i le va o mea masani o le faiga ma tape fa'ailoga le tumau pe a mafai.

Tekinolosi ma meafaigaluega e masani ona latou faʻaaogaina

O le fa'amaumauga e lautele, ae e toetoe lava o taimi uma e fa'ata'amilo i fa'aoga masani ma auala fa'alagolago. O nisi nei o mea sili ona taatele, i taimi uma ma le sini o fa'ateleina le fa'atinoina i totonu o le manatua ma faanenefu le ala:

• PowerShellMamana tusitusiga, avanoa i Windows API, ma masini. O lona fegalegaleai e avea ai ma mea e sili ona fiafia i ai mo le pulega ma le faatautala leaga.
• WMI (Pupuni Pulea Meafaigaluega)E mafai ai ona e fesiligia ma tali atu i mea e tutupu i le faiga, faʻapea foʻi ma le faia o gaioiga mamao ma le lotoifale; aoga mo tumau ma le fa'aputuga.
• VBScript ma JScript: afi o loʻo i ai i le tele o siʻosiʻomaga e faʻafaigofie ai le faʻatinoina o le faʻatonuga e ala i vaega faʻaoga.
• mshta, rundll32 ma isi binaries faʻalagolago: o LoLBins lauiloa lea, pe a faʻafesoʻotaʻi lelei, e mafai fa'atino le code e aunoa ma le tu'uina o mea taua faʻaalia i luga ole disk.
• Pepa o lo'o iai anotusi gaioiMacros poʻo le DDE i le Ofisa, faʻapea foʻi ma le aufaitau PDF e iai foliga faʻapitoa, e mafai ona avea o se punavai e faʻalauiloa ai tulafono i le mafaufau.
• Faʻamaumauga a Windows: ki o le tagata lava ia po'o fa'ailoga/natia le teuina o uta o lo'o fa'agaoioia e vaega o le faiga.
• Faoa faamalosi ma tui i faiga: suiga o le avanoa manatua o faiga faʻagasolo mo talimalo manatu leaga i totonu o se fa'atinoga fa'atulafonoina.
• Pusa fa'agaioiga: su'esu'eina o fa'aletonu i le faiga a le tagata manu'a ma le fa'aogaina o mea fa'apitoa e fa'ataunu'uina e aunoa ma le pa'i i le tisiki.

O le luʻitau mo kamupani (ma pe aisea e le lava ai le poloka o mea uma)

O se faiga fa'atauva'a e fa'ailoa mai ai se faiga tele: polokaina le PowerShell, fa'asa macros, puipuia binaries pei o le rundll32. O le mea moni e sili atu ona faʻaalia: O le tele o nei meafaigaluega e manaʻomia. mo fa'agaioiga IT i aso ta'itasi ma mo fa'automai fa'atonu.

E le gata i lea, o le au osofaʻi e suʻe ni faʻalavelave: faʻaogaina le masini tusitusi i isi auala, fa'aoga isi kopiE mafai ona e fa'apipi'i manatu i ata pe fa'aoga i LoLBins e le mata'ituina. O le poloka fa'amalosi e i'u ai ina fa'atupu vevesi e aunoa ma se puipuiga atoatoa.

E le fo'ia fo'i le fa'afitauli ole fa'afitauli ole fa'a'au'au mama po'o le fa'atatau ile ao. A aunoa ma le telemetry endpoint mauoa ma leai tali atu i le sooupu lava iaE tuai ona oo mai le faaiuga ma e le mafai ona puipuia aua e tatau ona tatou faatali mo se faaiuga mai fafo.

I le taimi nei, o lipoti o maketi ua leva ona faasino i se tuputupu aʻe taua tele i lenei vaega, faatasi ai ma tumutumu o le Toeititi lava faaluaina taumafaiga e faaaoga le PowerShell i taimi pupuu, lea e faʻamaonia ai o se togafiti faifaipea ma aoga mo fili.

Su'esu'ega fa'aonaponei: mai le faila i le amio

O le ki e le o ai na te faia, ae faʻafefea ma aisea. Mataituina o le fa'agasologa o amioga ma ona so'otaga E taua tele: laina faʻatonu, faʻasologa o tofi, valaʻau API maʻaleʻale, fesoʻotaʻiga i fafo, suiga o le Resitala, ma mea WMI.

O lenei faiga e matua fa'aitiitia ai le fa'asao: e tusa lava pe suia le binaries, o le e toe fai faiga osofa'i (tusitusi e sii mai ma faatino i le manatua, faʻaleagaina o LoLBins, faʻatonuga o faʻaliliu, ma isi). O le su'esu'eina o lena tusitusiga, ae le o le 'identity' o le faila, e fa'aleleia atili ai le iloa.

E fa'aoga lelei fa'avae EDR/XDR fa'ailoga e toe fausia ai le tala fa'asolopito atoa o mea na tutupu, fa'ailoa ai le mafuaaga autu Nai lo le tu'ua'ia o le fa'agasologa na 'fa'aalia', o lenei fa'amatalaga e feso'ota'i fa'apipi'i, macros, fa'aliliu upu, uta, ma le fa'amalosi e fa'aitiitia le tafe atoa, ae le na'o se vaega tu'ufua.

O le faʻaogaina o faʻavae e pei o MITER AT&CK E fesoasoani i le faʻafanua o auala ma metotia (TTPs) ma taʻitaʻia le tulituliloaina o faʻamataʻu agaʻi i amioga e fiafia i ai: faʻataunuʻuina, faʻamalosi, aloese mai le puipuiga, avanoa faʻamaonia, suʻesuʻeina, faʻagaioiga i tua ma faʻaumatia.

Ma le mea mulimuli, e tatau ona vave fa'amuta le tali fa'ai'uga: tu'u ese le masini, fa'ai'uga faiga a'afia, toe fa'afo'i suiga i le Ofisa Resitala po'o le fa'atulagaina o galuega ma poloka feso'ota'iga i fafo masalosalo e aunoa ma le fa'atali mo fa'amaoniga mai fafo.

Telemetry aoga: mea e vaʻai i ai ma pe faʻapefea ona faʻamuamua

Ina ia faʻateleina le avanoa e iloa ai e aunoa ma le faʻauluina o le faiga, e fautuaina e faʻamuamua faailoilo maualuga. O nisi fa'apogai ma fa'atonuga e maua ai fa'amatalaga. taua mo le leai o se faila O latou:

• Auiliiliga PowerShell Log ma isi fa'amatala: fa'amaumauga poloka poloka, tala fa'asolopito, fa'apipi'iina modules, ma mea e tutupu i le AMSI, pe a maua.
• WMI faleteuoloaSuʻesuʻega ma mataala e uiga i le fausiaina poʻo le fesuiaiga o mea e faʻamama ai mea, tagata faʻatau, ma fesoʻotaʻiga, aemaise lava i igoa maaleale.
• Fa'alavelave saogalemu ma Sysmon: fa'asologa o le fa'agasologa, fa'amaoni ata, utaina o manatuaga, tui, ma le faia o galuega fa'atulagaina.
• Lanu mumu: feso'ota'iga fa'aletonu i fafo, fa'ailo, fa'asologa o le la'uina o uta, ma le fa'aogaina o ala lilo mo le fa'amama.

E fesoasoani le otometi e vavae ese le saito mai le aputi: tulafono e iloa ai amioga, lisi faatagaina mo pulega tatau ma le fa'atamaoaigaina ma le atamai fa'amata'u e fa'atapula'aina ai mea lelei sese ma fa'atelevave le tali.

Puipuiga ma le faʻaitiitia o luga

E leai se fua e tasi e lava, ae o se puipuiga fa'apipi'i e matua fa'aitiitia ai le lamatiaga. I le itu e puipuia ai, e tele laina o gaioiga e tulaga ese crop vectors ma ia atili ai ona faigata le olaga mo le fili;

• Puleaina o le macro: fa'agata ona o le faaletonu ma fa'ataga na'o le taimi e matua'i mana'omia ai ma sainia; fa'atonuga fa'apitoa e ala i faiga fa'avae.
• Fa'atapula'a o fa'aliliu upu ma LoLBins: Fa'aoga le AppLocker/WDAC po'o le tutusa, pulea o tusitusiga ma faʻataʻitaʻiga faʻataʻitaʻiga faʻatasi ai ma le faʻapipiʻiina atoatoa.
• Patching ma faʻaitiitia: tapunia fa'alavelave fa'aogaina ma fa'agaoioia puipuiga manatua e fa'agata ai RCE ma tui.
• Fa'amaoni malosiMFA ma le leai o se fa'atuatuaga fa'avae e taofia ai le fa'aleagaina o fa'amaoniga ma fa'aitiitia le fe'avea'i i tua.
• Fa'aaliga ma fa'ata'ita'igaFa'aa'oa'oga fa'ata'ita'i ile phishing, pepa o lo'o i ai mea fa'agaoioia, ma fa'ailoga o fa'alavelave fa'alavelave.

O nei faiga e faʻapipiʻiina e fofo e auʻiliʻili ai fefaʻatauaiga ma manatua e iloa ai amioga leaga i le taimi moni, faʻapea foʻi faiga fa'avae ma avanoa itiiti e taofiofia ai le a'afiaga pe a o'o mai se mea.

Au'aunaga ma auala o lo'o galue

I si'osi'omaga e tele fa'ai'uga ma maualuga fa'amata'utia, fa'afoeina fa'amatalaga ma tali atu auaunaga ma 24/7 mata'ituina Ua latou fa'amaonia le fa'atelevaveina o fa'alavelave fa'alavelave. O le tuʻufaʻatasiga o le SOC, EMDR/MDR, ma le EDR/XDR e maua ai mata faʻapitoa, telemetry tele, ma faʻamaopoopo tali gafatia.

O 'au'aunaga sili ona lelei ua fa'aulufaleina le suiga i le amio: o mea mama mama lena fa'amaopoopo gaioiga ile tulaga ole fatuLatou te toe fa'aleleia tala fa'asolopito atoa o osofa'iga ma fa'aoga fa'amatu'u fa'atomiga pe a latou iloa ni filifili leaga, fa'atasi ai ma le toe fa'afo'i le mafai e toe fa'afo'i suiga.

I se tulaga tutusa, o suʻega puipui pito i tua ma XDR faʻavae e tuʻufaʻatasia le vaʻaia ma le faʻamataʻu pulega i luga o fale faigaluega, servers, faʻamatalaga, imeli, ma le ao; o le sini o le talepe le filifili o osofaiga e tusa lava pe o iai faila pe leai.

Fa'ailoga fa'ata'ita'i mo le tuliga fa'amata'u

Afai e tatau ona e faʻamuamua suʻesuʻega manatu, taulaʻi i le tuʻufaʻatasia o faʻailoga: o se faʻagasologa o le ofisa e faʻalauiloa ai se faʻamatala faʻamatalaga e le masani ai, Fausiaina o saofaga a le WMI A mae'a ona tatalaina se pepa, suiga i ki amata ona soso'o ai lea ma feso'ota'iga i vaega e le lelei le igoa.

O le isi auala aoga o le faʻalagolago i laina faʻavae mai lou siosiomaga: o le a le mea masani i luga o au 'auʻaunaga ma fale faigaluega? So'o se 'ese'ese (fa'ato'a saini fa'ailoga ua aliali mai o matua o fa'aliliuupu, fa'alavelave fa'afuase'i i le fa'atinoga (o tusitusiga, manoa faʻatonu ma faʻalavelave) e tatau ona suʻesuʻeina.

Ma le mea mulimuli, aua nei galo manatua: afai e iai au mea faigaluega e asiasia vaega taʻavale pe puʻeina ata, mea na maua i le RAM E mafai ona avea ma faʻamaoniga mautinoa o le leai o se faila, aemaise lava pe a leai ni mea faʻapitoa i le faila faila.

O le tuʻufaʻatasia o nei togafiti, metotia, ma faʻatonuga e le faʻaumatia ai le faʻamataʻu, ae e tuʻuina oe i se tulaga sili atu e iloa ai i le taimi. tipi le filifili ma faaitiitia le aafiaga.

A fa'aaoga lelei nei mea uma—telemetry e maua i le pito i'uga, fa'amaopoopo amio, tali fa'aautomatika, ma le fa'ama'a'a filifili—o le faiga e leai ni faila e leiloa le tele o lona aoga. Ma, e ui lava o le a faʻaauau pea ona faʻaleleia, o le taulai atu i amioga Nai lo o faila, e ofoina atu se faavae mautu mo lau puipuiga e faʻaleleia ai.