Что делать, если пользователь удалил фишинговый файл 📬?) или атакующие стерли следы компрометации? 😐
Давайте обратимся к MSDN и вспоним, что такое файл в NTFS.
Файл — это единица данных в файловой системе, к которым пользователь может получить доступ и управлять ими. Файл должен иметь уникальное имя в своем каталоге. Он состоит из одного или нескольких потоков байтов, которые содержат набор связанных данных, а также набор атрибутов (также называемых свойствами), описывающих файл или данные в файле.
На картинке представлен файл с одним основным потоком и двумя альтернативными.
На основе этого мехнизма работает служба
Attachment Execution Service.Когда файл сохраняется ему добавляются альтернативные потоки:
🔤 ZoneID - число, указывающее Security Zone, из которой был получен файл. Вот возможные значения:
0 – My Computer (local files)
1 – Intranet (internal network)
2 – Trusted sites
3 – Internet (most web downloads)
4 – Untrusted (flagged as risky by Microsoft SmartScreen)
🔤 ReferrerURL - веб-сайт, с которого был загружен файл
🔤 HostURL - прямая ссылка для скачивания
Информацию о создании ADS можно увидеть в событии Sysmon - 15, если забыли настроить в MFT.
Таким образом мы можем сформулировать хант:
Атакующие нас пробили через фишинг. Пользователь удалил файл после открытия или хакеры удалили за собой файл. Найдем упоминания ReferrerURL/HostURL
Нам нужно:
🔤найти все созданные упоминания об ADS в событиях или в MFT
🔤определить расширения файлов, которые нас интересуют (можем воспользоваться https://filesec.io/)
🔤 провести анализ
🔤 или сгруппировать найденные url и проверить их репутацию
#detection@detectioneasy