Муайян кардани файлҳои бидуни файл: дастури мукаммал барои ошкор ва қатъ кардани нармафзори зараровар дар хотира

Ҳамлаҳое, ки бидуни осор дар диск амал мекунанд, барои бисёре аз дастаҳои амниятӣ дарди сарашон шудаанд, зеро онҳо пурра дар хотира иҷро мешаванд ва равандҳои қонунии системаро истифода мебаранд. Аз ин рӯ, аҳамияти донистан чӣ тавр муайян кардани файлҳои бе файл ва худро аз онҳо муҳофизат кунанд.

Ғайр аз сарлавҳаҳо ва тамоюлҳо, фаҳмидани он, ки онҳо чӣ гуна кор мекунанд, чаро онҳо ин қадар дастнорасанд ва кадом аломатҳо ба мо имкон медиҳанд, ки онҳоро ошкор кунем, фарқияти байни ин ҳодиса ва пушаймон шудан аз вайронкунӣ фарқ мекунад. Дар сатрхои зерин масъаларо тахлил карда, пешниход мекунем ҳалли.

Барномаи зараровар чист ва чаро он муҳим аст?

 

Нармафзори зараровар як оилаи мушаххас нест, балки як роҳи кор аст: Аз навиштани файлҳои иҷрошаванда ба диск худдорӣ кунед Он хидматҳо ва бинарҳои аллакай дар система мавҷудбударо барои иҷро кардани рамзи зараровар истифода мебарад. Ба ҷои тарк кардани файли ба осонӣ сканершаванда, ҳамлакунанда утилитаҳои боэътимодро сӯиистифода мекунад ва мантиқи онро мустақиман ба RAM бор мекунад.

Ин равиш аксар вақт дар фалсафаи "Зиндагӣ дар замин" фаро гирифта шудааст: ҳамлагарон асбобҳои ватанӣ ба монанди PowerShell, WMI, mshta, rundll32 ё муҳаррикҳои скрипт ба монанди VBScript ва JScript барои ноил шудан ба ҳадафҳои худ бо садои ҳадди аққал.

Дар байни хусусиятҳои маъмултарини он мо мебинем: иҷро дар хотираи идоранашавандаи, кам ё тамоман истодагарӣ дар диск, истифодаи ҷузъҳои бо система имзошуда ва қобилияти баланди саркашӣ бар зидди муҳаррикҳои ба имзо асосёфта.

Ҳарчанд бисёре аз боргузориҳо пас аз бозоғозӣ нопадид мешаванд, фирефта нашавед: душманон суботкорй мукаррар карда метавонанд бо истифода аз калидҳои Реестр, обунаҳои WMI ё вазифаҳои ба нақша гирифташуда, ҳама бе тарк кардани бинарҳои шубҳанок дар диск.

Чаро мо муайян кардани файлҳои бидуни файлро ин қадар душвор меҳисобем?

Монеаи аввал аён аст: Ягон файлҳои аномалӣ барои тафтиш вуҷуд надорандБарномаҳои антивирусии анъанавӣ, ки бар асоси имзоҳо ва таҳлили файлҳо асос ёфтаанд, вақте ки иҷроиш дар равандҳои дуруст ва мантиқи зараровар дар хотира ҷойгир аст, барои маневр фазои кам доранд.

Дуюм нозуктар аст: ҳамлагарон худро дар паси худ пинҳон мекунанд равандҳои қонунии системаи амалиётӣАгар PowerShell ё WMI ҳар рӯз барои маъмурият истифода шаванд, чӣ гуна шумо метавонед истифодаи муқаррариро аз истифодаи зараровар бидуни контекст ва телеметрияи рафторӣ фарқ кунед?

Илова бар ин, кур-курона бастани асбобҳои муҳим имконнопазир аст. Хомӯш кардани макросҳои PowerShell ё Office дар саросари тахта метавонад амалиётро вайрон кунад ва Вай суиистеъмолро пурра пешгирй намекунадзеро роҳҳо ва усулҳои алтернативии иҷро барои канорагирӣ аз блокҳои оддӣ мавҷуданд.

Барои пеш аз ҳама, ошкоркунии абрӣ ё сервер барои пешгирӣ кардани мушкилот хеле дер аст. Бе дастрасии маҳаллӣ дар вақти воқеӣ дар ин масъала... сатрҳои фармон, муносибатҳои раванд ва рӯйдодҳои сабтАгент наметавонад ҷараёни зарароварро, ки дар диск нишоне боқӣ нагузорад, коҳиш диҳад.

Чӣ тавр ҳамлаи бидуни файл аз аввал то ба охир кор мекунад

Дастрасии ибтидоӣ одатан бо ҳамон векторҳои ҳамешагӣ сурат мегирад: фишинг бо ҳуҷҷатҳои офисӣ ки талаб мекунанд, ки мундариҷаи фаъол, истинод ба сайтҳои осебдида, истисмори осебпазирӣ дар барномаҳои фошшуда ё сӯиистифода аз маълумоти ифшошуда барои дастрасӣ тавассути RDP ё хидматҳои дигар.

Ҳангоми ворид шудан, рақиб кӯшиш мекунад, ки бидуни даст ба диск иҷро кунад. Барои ин, онҳо функсияҳои системаро якҷоя мекунанд: макросҳо ё DDE дар ҳуҷҷатҳо ки фармонҳоро оғоз мекунанд, изофанависиро барои RCE истифода мебаранд ё бинарҳои боэътимодро даъват мекунанд, ки кодро дар хотира бор кардан ва иҷро мекунанд.

Агар амалиёт муттасилиро талаб кунад, суботро бидуни ҷойгиркунии файлҳои иҷрошавандаи нав амалӣ кардан мумкин аст: сабтҳои оғозёбӣ дар ФеҳристОбунаҳои WMI, ки ба рӯйдодҳои система ё вазифаҳои ба нақша гирифташуда, ки скриптҳоро дар шароити муайян ба вуҷуд меоранд, вокуниш нишон медиҳанд.

Бо иҷрои муқарраршуда, ҳадаф қадамҳои зеринро тақозо мекунад: ба паҳлӯ ҳаракат кунед, ихроҷи маълумотИн дуздии маълумоти эътимоднок, ҷойгиркунии RAT, истихроҷи криптовалютҳо ё фаъолсозии рамзгузории файлро дар сурати ransomware дар бар мегирад. Ҳамаи ин, агар имконпазир бошад, бо истифода аз функсияҳои мавҷуда анҷом дода мешавад.

Хориҷ кардани далелҳо як қисми нақша аст: бо навиштани бинарҳои шубҳанок, ҳамлагар артефактҳои таҳлилшавандаро ба таври назаррас коҳиш медиҳад. омехта кардани фаъолияти онҳо дар байни рӯйдодҳои муқаррарӣ аз система ва нест кардани пайгирии муваққатӣ дар ҳолати имконпазир.

Усулҳо ва асбобҳое, ки онҳо одатан истифода мебаранд

Каталог васеъ аст, аммо он қариб ҳамеша дар атрофи хидматҳои маҳаллӣ ва хатсайрҳои боэътимод давр мезанад. Инҳо баъзе аз маъмултарин мебошанд, ҳамеша бо ҳадафи иҷрои ҳадди аксар дар хотира ва пайраҳаро норавшан кунед:

• PowerShellСкрипти пурқувват, дастрасӣ ба API-ҳои Windows ва автоматизатсия. Гуногунии он онро ҳам барои маъмурият ва ҳам сӯиистифодаи таҳқиромез дӯстдошта мегардонад.
• WMI (Инструментатсияи идоракунии Windows)Он ба шумо имкон медиҳад, ки дархост ва вокуниш ба рӯйдодҳои система, инчунин иҷрои амалҳои дурдаст ва маҳаллӣ; муфид барои суботкорй ва оркестрсозй.
• VBScript ва JScript: муҳаррикҳо дар бисёр муҳитҳо мавҷуданд, ки иҷрои мантиқро тавассути ҷузъҳои система осон мекунанд.
• mshta, rundll32 ва дигар бинарҳои боэътимод: LoLBins маъруф, ки ҳангоми пайваст кардани дуруст метавонанд кодро бидуни партофтани артефактҳо иҷро кунед дар диск маълум аст.
• Ҳуҷҷатҳои дорои мундариҷаи фаъолМакросҳо ё DDE дар Office, инчунин хонандагони PDF бо хусусиятҳои пешрафта метавонанд ҳамчун трамплин барои оғози фармонҳо дар хотира хидмат кунанд.
• Феҳристи Windows: калидҳои боркунаки худкор ё нигаҳдории рамзгузоришуда/пинҳони борҳои боркаш, ки аз ҷониби ҷузъҳои система фаъол карда мешаванд.
• Гирифтан ва сӯзандору ба равандҳо: тағир додани фазои хотираи равандҳои иҷрошаванда барои мизбони мантиқи зараровар дар доираи иҷрошавандаи қонунӣ.
• Маҷмӯаҳои амалиётӣ: ошкор кардани осебпазирӣ дар системаи ҷабрдида ва ҷойгиркунии эксплойтҳои мувофиқ барои ноил шудан ба иҷроиш бидуни даст ба диск.

Мушкилот барои ширкатҳо (ва чаро танҳо бастани ҳама чиз кофӣ нест)

Равиши соддалавҳона як чораи қатъиро пешниҳод мекунад: бастани PowerShell, манъ кардани макросҳо, пешгирии бинарҳо ба монанди rundll32. Воқеият нозукитар аст: Бисёре аз ин воситаҳо муҳиманд. барои амалиёти ҳаррӯзаи IT ва автоматикунонии маъмурӣ.

Илова бар ин, ҳамлагарон камбудиҳоро меҷӯянд: муҳаррики скриптро бо роҳҳои дигар кор кардан, нусхаҳои алтернативӣ истифода баредШумо метавонед мантиқро дар тасвирҳо баста кунед ё ба LoLBins камтар назоратшаванда муроҷиат кунед. Бастани бераҳмона дар ниҳоят бидуни ҳимояи мукаммал фриксияро ба вуҷуд меорад.

Таҳлили сирф дар сервер ё ба абр асосёфта низ мушкилотро ҳал намекунад. Бе телеметрияи ғании ниҳоӣ ва бидуни ҷавобгарӣ дар худи агентҚарор дер мебарояд ва пешгирӣ кардан ғайриимкон аст, зеро мо бояд ҳукми берунаро интизор шавем.

Дар ҳамин ҳол, гузоришҳои бозор кайҳо боз ба афзоиши хеле назаррас дар ин самт ишора мекунанд, ки қуллаҳои он ҷо Кӯшишҳои сӯиистифода аз PowerShell тақрибан дучанд шуд дар муддати кутох, ки ин тактикаи такроршаванда ва фоидаовар будани харифонро тасдик мекунад.

Муайянкунии муосир: аз файл то рафтор

Муҳим он нест, ки кӣ иҷро мекунад, балки чӣ гуна ва чаро. Мониторинги рафтори раванд ва муносибатҳои он Ин ҳалкунанда аст: сатри фармон, мероси раванд, зангҳои ҳассос API, пайвастҳои содиротӣ, тағиротҳои реестр ва рӯйдодҳои WMI.

Ин равиш сатҳи саркашӣ ба таври назаррас коҳиш медиҳад: ҳатто агар бинарҳои ҷалбшуда тағир ёбанд, шаклхои хучум такрор мешаванд (скриптҳое, ки дар хотира зеркашӣ ва иҷро мекунанд, сӯиистифода аз LoLBins, даъвати тарҷумонҳо ва ғ.). Таҳлили он скрипт, на "шахсияти" файл, ошкоркуниро беҳтар мекунад.

Платформаҳои самараноки EDR/XDR сигналҳоро барои барқарор кардани таърихи пурраи ҳодисаҳо, муайян мекунанд нахустсабаб Ба ҷои айбдор кардани раванде, ки "намоён шуд", ин ҳикоя замимаҳо, макросҳо, тарҷумонҳо, борҳо ва устувориро барои сабук кардани тамоми ҷараён мепайвандад, на танҳо як порчаи ҷудошуда.

Татбиқи чаҳорчӯба ба монанди MITER AT&CK Он ба харитаи тактика ва усулҳои мушоҳидашуда (TTPs) ва роҳнамоии шикори таҳдид ба рафтори манфиатдор: иҷро, суботкорӣ, саркашӣ аз дифоъ, дастрасии эътимоднома, кашф, ҳаракати паҳлӯӣ ва эксфилтратсия кӯмак мекунад.

Ниҳоят, оркестри вокуниши ниҳоӣ бояд фавран бошад: дастгоҳро ҷудо кунед, равандҳои хотимавӣ ҷалб карда шавад, тағиротро дар Феҳрист ё нақшаи вазифаҳо баргардонед ва пайвастагиҳои содиротии шубҳанокро бидуни интизори тасдиқи беруна маҳкам кунед.

Телеметрияи муфид: ба чӣ назар кардан ва чӣ гуна афзалият додан

Барои баланд бардоштани эҳтимолияти ошкоркунӣ бе пур кардани система, тавсия дода мешавад, ки ба сигналҳои арзишманд афзалият дода шавад. Баъзе манбаъҳо ва идораҳое, ки контекстро таъмин мекунанд. муҳим барои бе файл Онҳо инҳоянд:

• Гузориши муфассали PowerShell ва дигар тарҷумонҳо: сабти блоки скрипт, таърихи фармон, модулҳои боршуда ва рӯйдодҳои AMSI, вақте ки дастрасанд.
• Анбори WMIИнвентаризатсия ва огоҳӣ дар бораи эҷод ё тағир додани филтрҳои рӯйдодҳо, истеъмолкунандагон ва истинодҳо, махсусан дар фазоҳои номҳои ҳассос.
• Ҳодисаҳои амниятӣ ва Sysmon: таносуби раванд, якпорчагии тасвир, боркунии хотира, тазриқ ва эҷоди вазифаҳои ба нақша гирифташуда.
• сурх: пайвастагиҳои берунии аномалӣ, сигнализатсия, намунаҳои зеркашии борбардорӣ ва истифодаи каналҳои махфӣ барои эксфилтратсия.

Автоматизатсия барои ҷудо кардани гандум аз коҳ кӯмак мекунад: қоидаҳои муайянкунии рафтор, рӯйхати иҷозатҳо барои маъмурияти қонунӣ ва ғанӣ гардонидани иттилооти иктишофии таҳдид мусбатҳои бардурӯғро маҳдуд мекунад ва вокунишро метезонад.

Пешгирӣ ва кам кардани сатҳи

Ягон чораи ягона кифоя нест, аммо муҳофизати қабатӣ хатарро хеле кам мекунад. Дар паҳлӯи пешгирикунанда, якчанд самтҳои амал фарқ мекунанд буридани вектор ва зиндагии рақибро душвортар гардонад:

• Идоракунии макро: ба таври нобаёнӣ ғайрифаъол кунед ва танҳо дар ҳолати зарурӣ ва имзо иҷозат диҳед; назорати гранулӣ тавассути сиёсатҳои гурӯҳӣ.
• Маҳдудияти тарҷумонҳо ва LoLBins: AppLocker/WDAC ё муодили онро татбиқ кунед, назорати скриптҳо ва қолибҳои иҷроро бо сабти ҳамаҷониба истифода баред.
• Пахшкунӣ ва камкунӣ: осебпазириҳои истисморшавандаро пӯшед ва муҳофизати хотираро фаъол созед, ки RCE ва тазриқҳоро маҳдуд мекунанд.
• Аутентификатсияи боэътимодВКХ ва принсипҳои эътимоди сифр барои ҷилавгирӣ аз сӯиистифода аз эътимоднома ва кам кардани ҳаракати паҳлӯ.
• Огоҳӣ ва симулятсияҳоОмӯзиши амалӣ оид ба фишинг, ҳуҷҷатҳои дорои мундариҷаи фаъол ва аломатҳои иҷрои ғайримуқаррарӣ.

Ин тадбирҳо бо қарорҳое, ки трафик ва хотираро таҳлил мекунанд, барои муайян кардани рафтори бадқасдона дар вақти воқеӣ, инчунин сиёсати сегментатсия ва имтиёзҳои ҳадди ақал барои нигоҳ доштани таъсир ҳангоми лағзиши чизе.

Хидматҳо ва равишҳое, ки кор мекунанд

Дар муҳитҳое, ки нуқтаҳои ниҳоии зиёд ва интиқодии баланд доранд, хидматрасонии идорашавандаи ошкор ва вокуниш бо Мониторинги 24/7 Онҳо исбот карданд, ки ҷилавгирӣ аз ҳодисаҳоро суръат мебахшанд. Омезиши SOC, EMDR/MDR ва EDR/XDR чашмони коршинос, телеметрияи бой ва қобилиятҳои ҳамоҳангшудаи вокунишро фароҳам меорад.

Провайдерҳои муассир гузаришро ба рафтори дохилӣ кардаанд: агентҳои сабук, ки коррелятсия дар сатҳи ядроОнҳо таърихи мукаммали ҳамларо аз нав барқарор мекунанд ва ҳангоми ошкор кардани занҷирҳои зараровар, бо қобилияти бозгашт барои баргардонидани тағиротҳо сабуккунии автоматиро истифода мебаранд.

Дар баробари ин, сюитҳои муҳофизати нуқтаи ниҳоӣ ва платформаҳои XDR намоёнияти мутамарказ ва идоракунии таҳдидҳоро дар саросари истгоҳҳои корӣ, серверҳо, шахсиятҳо, почтаи электронӣ ва абр муттаҳид мекунанд; максад аз он бархам додан аст занҷири ҳамла новобаста аз он, ки файлҳо иштирок мекунанд ё не.

Нишондиҳандаҳои амалӣ барои шикори таҳдид

Агар шумо бояд ба гипотезаҳои ҷустуҷӯ авлавият диҳед, диққати худро ба омезиши сигналҳо равона кунед: раванди офис, ки тарҷумонро бо параметрҳои ғайриоддӣ оғоз мекунад, Эҷоди обунаи WMI Пас аз кушодани ҳуҷҷат, тағирот ба калидҳои оғозёбӣ ва пайвастшавӣ ба доменҳои дорои эътибори паст.

Равиши дигари муассир ин такя ба нишондиҳандаҳои асосӣ аз муҳити шумост: дар серверҳо ва истгоҳҳои кории шумо чӣ муқаррарӣ аст? Ҳар гуна инҳироф (бинарҳои нав имзошуда, ки ҳамчун волидайни тарҷумонҳо пайдо мешаванд, баландшавии ногаҳонии иҷроиш (аз скриптҳо, сатрҳои фармон бо печида) сазовори таҳқиқ аст.

Дар ниҳоят, хотираро фаромӯш накунед: агар шумо асбобҳое дошта бошед, ки минтақаҳои иҷрошударо тафтиш мекунанд ё аксбардорӣ мекунанд, бозёфтҳо дар RAM Онҳо метавонанд далели қатъии фаъолияти бидуни файл бошанд, хусусан вақте ки дар системаи файлӣ ягон артефакт мавҷуд нест.

Маҷмӯи ин тактика, усулҳо ва назорат таҳдидро нест намекунад, аммо он шуморо дар ҳолати беҳтаре мегузорад, ки онро сари вақт ошкор созед. занҷирро бурида ва кам кардани таъсир.

Вақте ки ҳамаи ин оқилона истифода бурда мешавад - телеметрияи бой аз нуқтаи ниҳоӣ, таносуби рафтор, вокуниши автоматӣ ва сахтгирии интихобӣ - тактикаи бефайл бисёр бартарии худро аз даст медиҳад. Ва, гарчанде ки он таҳаввулро идома медиҳад, таваҷҷӯҳ ба рафтор Ба ҷои дар файлҳо, он барои таҳаввул бо он заминаи мустаҳкам пешниҳод мекунад.