⭕️بررسی Event ID 15 در Sysmon

سیسمان یکی از ابزارهای قدرتمند مجموعه Sysinternals است که به‌طور گسترده در تحلیل رفتارهای سیستمی و شناسایی فعالیت‌های مشکوک در سیستم‌های ویندوزی استفاده می‌شود.
این ابزار با ثبت رویدادهای مختلف در سیستم، به تحلیلگران امنیتی کمک می‌کند تا حملات سایبری و فعالیت‌های مخرب را شناسایی کنند.
یکی از رویدادهای مهمی که Sysmon ثبت می‌کند، Event ID 15 است.

تعریف Event ID 15:
ایونت آیدی 15 در Sysmon مربوط به ایجاد یک جریان (Stream) در فایل است. این رویداد زمانی ثبت می‌شود که Alternate Data Streams (ADS) به یک فایل متصل شوند.

تعریف Alternate Data Streams (ADS):
قابلیتی در سیستم فایل NTFS است که اجازه می‌دهد داده‌های اضافی به فایل‌ها اضافه شود، بدون این‌که اندازه یا ویژگی‌های اصلی فایل تغییر کنند.

چرا Event ID 15 مهم است؟
در ویندوز ADS ها در حالت عادی کاربردهایی مانند ذخیره متادیتا دارند، اما مهاجمان می‌توانند از این قابلیت برای پنهان‌سازی بدافزارها، اسکریپت‌ها یا داده‌های مخرب استفاده کنند. Event ID 15 به ما امکان می‌دهد این تغییرات را شناسایی کنند.
حملات سایبری که از طریق Event ID 15 قابل شناسایی‌اند:
1. پنهان‌سازی بدافزار در ADS
مهاجمان ممکن است بدافزارها را در جریان‌های داده‌ی جایگزین (ADS) یک فایل مخفی کنند.
نشانه: ثبت یک Event ID 15 در فایلی که نیازی به ADS ندارد.
تحلیل: فایل مشکوک را بررسی کرده و جریان‌های داده‌ی آن را استخراج کنید. ابزارهایی مانند streams.exe می‌توانند کمک کنند.

2. اجرای کد مخرب از طریق ADS
مهاجمان ممکن است کدهای مخرب را در ADS ذخیره کرده و از آنجا اجرا کنند.
نشانه: ایجاد ADS در فایل‌هایی که در فرآیندهای سیستم حیاتی یا حساس نقش دارند.
تحلیل: مسیر فایل را ردیابی کرده و تغییرات مرتبط با آن را ارزیابی کنید.

3. پنهان‌سازی داده‌های سرقت‌شده
‌در این حملات ADS ها می‌توانند برای پنهان‌سازی داده‌های حساس و سرقت‌شده از سیستم استفاده شوند.
نشانه: ایجاد ADS‌های غیرمنتظره پس از دسترسی‌های مشکوک.
تحلیل: فایل‌های تغییر یافته و محتویات ADS را بررسی کنید.

4. ردپای مهاجم یا ابزارهای هک
برخی ابزارهای هک (مثل Mimikatz یا Cobalt Strike) ممکن است داده‌ها یا تنظیمات خود را در ADS ذخیره کنند.
نشانه: مشاهده ADS در کنار ابزارهای اجرایی یا فایل‌های سیستمی.
تحلیل: فایل‌های اجرایی را با هش‌گذاری یا تحلیل رفتاری بررسی کنید.

#ThreatHunting #sysmon
@securation