Detection is easy on Telegram: “В посте раннее, я упомянул про использование еще…”

В посте раннее, я упомянул про использование еще одной техники - Masquerading: Match Legitimate Name or Location.

⚠️ Masquerading: Match Legitimate Name or Location — это техника, которая используется злоумышленниками для маскировки вредоносных файлов или процессов под легитимные.

В том примере создается файл с именем svchost.exe , которое совпадает с именем системного файла Windows.

🔤 Как это работает

Злоумышленники создают файлы или процессы с именами, которые совпадают с именами системных файлов (например, svchost.exe, explorer.exe, lsass.exe)

🔭 Обнаружение

🔤 Для обнаружения такого поведения, мы можем отслеживать запуск процессов (нужно иметь список системных файлов) не из системных дирректорий


EventId=1 and Image != ".?:\\Windows\\" and (Image endswith "smss.exe" OR
Image endswith "ntoskrnl.exe" OR
Image endswith "crmss.exe" OR
Image endswith "wininit.exe" OR
Image endswith "winlogon.exe" OR
Image endswith "services.exe" OR
Image endswith "lsaiso.exe" OR
Image endswith "lsass.exe" OR
Image endswith "spoolsv.exe" OR
Image endswith "dllhost.exe" OR
Image endswith "lsm.exe" OR
Image endswith "svchost.exe" OR
Image endswith "runtimebroker.exe" OR
Image endswith "taskhostw.exe" OR
Image endswith "userinit.exe")

Еще хакеры любят называть процессы под имена средств защиты, особенно под Windows Defender 😄

🔤 Другой вариант, записать хеши системных файлов в таблицу (их мы можем взять, например из события Sysmon EventID=1). Если имя запускаемого процесса совпадает, с именем из таблицы - сравнивать хеш. Стоит учесть, что при обновлении ПО - хеши системных файлов будут меняться

🔤 Можем проверять наличие цифровой подписи у файла, с именем из списка системных файлов

🔤 Создание нового файла с системным именем


EventId=11 and 
(TargetFilename endswith "smss.exe" OR
TargetFilename endswith "ntoskrnl.exe" OR
TargetFilename endswith "crmss.exe" OR
TargetFilename endswith "wininit.exe" OR
TargetFilename endswith "winlogon.exe" OR
TargetFilename endswith "services.exe" OR
TargetFilename endswith "lsaiso.exe" OR
TargetFilename endswith "lsass.exe" OR
TargetFilename endswith "spoolsv.exe" OR
TargetFilename endswith "dllhost.exe" OR
TargetFilename endswith "lsm.exe" OR
TargetFilename endswith "svchost.exe" OR
TargetFilename endswith "runtimebroker.exe" OR
TargetFilename endswith "taskhostw.exe" OR
TargetFilename endswith "userinit.exe")

🔤 Создание ADS NTFS


EventId=15 and (
TargetFilename endswith "smss.exe:Zone.Identifier" OR
TargetFilename endswith "ntoskrnl.exe:Zone.Identifier" OR
TargetFilename endswith "crmss.exe:Zone.Identifier" OR
TargetFilename endswith "wininit.exe:Zone.Identifier" OR
TargetFilename endswith "winlogon.exe:Zone.Identifier" OR
TargetFilename endswith "services.exe:Zone.Identifier" OR
TargetFilename endswith "lsaiso.exe:Zone.Identifier" OR
TargetFilename endswith "lsass.exe:Zone.Identifier" OR
TargetFilename endswith "spoolsv.exe:Zone.Identifier" OR
TargetFilename endswith "dllhost.exe:Zone.Identifier" OR
TargetFilename endswith "lsm.exe:Zone.Identifier" OR
TargetFilename endswith "svchost.exe:Zone.Identifier" OR
TargetFilename endswith "runtimebroker.exe:Zone.Identifier" OR
TargetFilename endswith "taskhostw.exe:Zone.Identifier" OR
TargetFilename endswith "userinit.exe:Zone.Identifier")

#ttp@detectioneasy
#detection@detectioneasy