Garden Detective

#anti_forensics #sysprep 🔴 Также в ОС Windows есть экспортная функция Sysprep_Clean_Net из библиотеки spnet.dll, которая выводит хост из домена Active Directory. Команда №1:

rundll32.exe spnet.dll,Sysprep_Clean_Net

Команда №2:

rundll32.exe spnet.dll,#1

🔵 Когда я обнаружил этот метод, способный существенно усложнить жизнь ИТ-администраторам при управлении Windows-инфраструктурой (например, при необходимости централизованного запуска утилиты для сбора триажа через GPO), сразу вспомнились две группировки: OldGremlin и Shadow. 1️⃣ OldGremlin: на завершающем этапе атаки злоумышленники временно отключали сетевые интерфейсы на хостах.

sc create ZVoya binPath= "cmd.exe /c C:\Windows\ZVoya.exe" 2022 4 30 13 0 0" start= auto

➖ Производилась изоляция хоста от сети до указанного времени (см. переданные аргументы). 2️⃣ Shadow: в некоторых случаях на заключительном этапе атаки группировка отключала системы ИТ-администраторов сценарием PowerShell killhost.ps1 по заранее заготовленному списку хостов, а также меняла другим скриптом пароли всем пользователям домена.

Invoke-Command -ComputerName $computers -ScriptBlock { Stop-Computer -Force -Confirm:$false }

🔵 Все эти действия приводят к увеличению времени на реагирование и расследование инцидента ИБ.

#anti_forensics #sysprep Список экспортируемых функций из разных DLL (из доклада "Уйди в туман, запутай след"), которые можно использовать для очистки данных из некоторых источников криминалистических артефактов в ОС Windows. 🔴 Windows Search:

rundll32.exe mssrch.dll,MSSrch_SysPrep_Cleanup
rundll32.exe mssrch.dll,#22

*️⃣остановка/отключение службы WSearch; *️⃣удаление содержимого каталога %ProgramData%\Microsoft\Search\Data\Applications\Windows и самого каталога; *️⃣удаление некоторых подразделов из HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Search. 🔴 Prefetch:

rundll32.exe sysmain.dll,PfSvSysprepCleanup
rundll32.exe sysmain.dll,#14

*️⃣остановка службы SysMain. *️⃣удаление файлов из каталогов %WINDIR%\Prefetch и %WINDIR%\Prefetch\ReadyBoot. 🔴 WER:

rundll32.exe wer.dll,WerSysprepCleanup
rundll32.exe wer.dll,#1

*️⃣удаление файлов и папок из каталога %ALLUSERSPROFILE%\Microsoft\Windows\WER. 🔴 EVTX:

rundll32.exe wevtapi.dll,EvtIntSysprepCleanup
rundll32.exe wevtapi.dll,#1

*️⃣очистка журналов событий: System, Application, Security, Setup. 🔴 Restore Points:

rundll32.exe srclient.dll,SysprepCleanup
rundll32.exe srclient.dll,#1

*️⃣удаление всех точек восстановления Windows. 🔴 Recycle Bin+Profile:

rundll32.exe shsetup.dll,Sysprep_Cleanup_Shell
rundll32.exe shsetup.dll,#4

*️⃣функция SHEmptyRecycleBinW удаляет файлы из Корзины; в данном случае происходит удаление содержимого Корзины со всех дисков; *️⃣очистка ключей (у всех пользователей): ➖ HKCU\Software\Microsoft\Windows\CurrentVersion \Explorer\RecentDocs ➖ HKCU\Software\Microsoft\Windows\CurrentVersion \Explorer\RunMRU *️⃣удаляет файлы из каталогов, указанных в значениях следующих параметров (у всех пользователей): ➖ HKCU\Environment\TEMP ➖ HKCU\Software\Microsoft\Windows\CurrentVersion \Explorer\User Shell Folders\Recent Тесты проводились на ОС Windows 10 (21H2), а запуск команд осуществлялся под привилегированной учётной записью.

#anti_forensics Презентация доклада "Уйди в туман, запутай след", с которой я выступал на митапе CTI Meetup от Inseca. Прикольное мероприятие, на котором можно не только подушнить, но и в спокойной обстановке обсудить "этот-ваш-мир" ИБ. 💻

Интересно, что же будет на PHDays в этом году. :) Помимо этих новостей, на этой неделе я также выложу материал о том, как подготавливал ИТ-инфраструктуру для первого задания митапа CyberCamp 2025 по теме DFIR.

#persistence #linux #watchdog #part_1 🔵 В статье NCC Group, посвященной RCE-уязвимости CVE-2020-8260 в шлюзах Pulse Connect Secure, я наткнулся на описанный автором способ закрепления в системе — сторожевой таймер (watchdog). Мне сразу стало интересно рассмотреть его подробнее, о чём дальше и пойдёт речь. 🔵 watchdog — механизм, предназначенный для автоматического восстановления системы в случае сбоев. Он отслеживает активность системы и инициирует её перезагрузку, если не получает подтверждения о работоспособности в течение заданного времени. Представим, что атакующие смогли получить доступ к Linux-серверу, повысили свои привилегии до уровня root, а затем закрепились на системе с помощью watchdog. Однако есть нюанс: устройство может быть перезагружено, что нежелательно для продолжения атаки. Тем не менее, существует способ предотвратить перезагрузку, который дальше будет учтён в реализации закрепления. 🔴 Перейдём к самой реализации, которую рассмотрим на примере дистрибутива на основе Debian. Нам необходимо: 1️⃣🔤установить watchdog, если он отсутствует на системе:

apt install watchdog -y

2️⃣🔤в конфигурационном файле /etc/watchdog.conf добавить, например, следующие строки:

test-binary = /home/configure
interval = 120
watchdog-timeout = 150

*️⃣test-binary — проверочный исполняемый файл/скрипт /home/configure, запускаемый watchdog. Если он вернёт ненулевое значение, то при следующей проверки системы (с частотой, указанной в параметре interval) будет инициирована её перезагрузка. В данном случае также должен быть установлен параметр retry-timeout в значение 0. *️⃣interval — каждые 120 секунд watchdog выполняет проверку, запуская /home/configure. *️⃣watchdog-timeout — если система не отвечает дольше 150 секунд (например, из-за зависания системы), то watchdog будет считать, что система находится в неисправном состоянии и перезагрузит её. 3️⃣🔤прописать в файле /etc/default/watchdog строку:

watchdog_options="--no-action"

*️⃣Данный аргумент предотвращает перезагрузку системы. 4️⃣🔤настроить службу watchdog для автозапуска при старте системы и запустить её:

systemctl enable watchdog
systemctl start watchdog

🔵 В следующих постах рассмотрим, какие правила детектирования можно реализовать и на что обращать внимание в триаже, собранном с Linux-системы, для идентификации использования watchdog.