💫سناریوی لاگ: وصله کاری در تاریکی(Patching in the Dark)

قسمت اول 1️⃣


در این سناریو، مهاجم از تکنیک Full DLL Unhooking برای غیرفعال کردن هوک‌های User-Mode EDR و سپس اجرای یک payload با استفاده از ابزار مدیریت از راه دور استفاده می‌کند.

🎇ابزارهای مانیتورینگ ما:
1. Sysmon:
ابزار قدرتمند مایکروسافت برای مانیتورینگ عمیق سیستم. فرض می‌کنیم با یک کانفیگ خوب نصب شده.
2. Windows Security Logs:
لاگ‌های پیش‌فرض ویندوز.
3. EDR Logs:
لاگ‌های خود EDR که برخی فعالیت‌ها را ثبت می‌کند اما رویدادهای کلیدی را از دست می‌دهد.


دنباله‌ی زمانی لاگ‌ها (The Log Timeline)

زمان: T0 (10:30:15 AM)
منبع: Windows Security Log (Event ID 4688 - A new process has been created)

{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}


➕ تحلیل اولیه: کاربر jsmith یک اسکریپت پاورشل را از یک مسیر شبکه اجرا کرده است. این رفتار مشکوک است اما نه لزوماً مخرب. بسیاری از ادمین‌ها از این روش برای مدیریت سیستم‌ها استفاده می‌کنند. EDR ممکن است یک هشدار با اولویت پایین (Low Severity Alert) ایجاد کند، اما آن را بلاک نمی‌کند.


زمان: T1 (10:30:17 AM)
منبع: Sysmon (Event ID 10 - ProcessAccess)

{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}
➕ تحلیل اولیه: پراسس powershell.exe به حافظه‌ی خودش با سطح دسترسی کامل (0x1FFFFF یا PROCESS_ALL_ACCESS) دسترسی پیدا کرده است.
* تحلیل عمیق (اینجا نکته کلیدی است!): چرا یک پراسس باید به خودش دسترسی کامل بخواهد؟ این رفتار بسیار غیرعادی است. این لاگ سرنخ اصلی ماست. اسکریپت پاورشل در حال آماده شدن برای دستکاری حافظه‌ی خودش است. این اولین قدم برای فرآیند Unhooking است. EDR اینجا باید حساس شود، اما بسیاری از آن‌ها این رفتار را به عنوان یک تهدید قطعی در نظر نمی‌گیرند چون Source و Target یکی هستند.


زمان: T2 (10:30:18 AM)
منبع: Sysmon (Event ID 7 - Image Loaded)

{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}
* تحلیل: این لاگ نشان می‌دهد که DLL مربوط به EDR (در اینجا به عنوان مثال Sophos) به درستی در پراسس powershell.exe لود شده است. این یعنی EDR "فکر می‌کند" که در حال مانیتورینگ این پراسس است.


زمان: T3 (10:30:20 AM)
منبع: لاگ EDR (EDR Telemetry)


{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",


🔓پایان قسمت اول

🎯دوره های درحال ثبت نام #آکادمی_روزبه

🌎ثبت نام دوره امنیت سطح ۱
🍀ثبت نام CISSP

واتس اپ و بله 09902857290🍀1️⃣

کسی که راه خودش رو می‌ره، خارج از بازی مقایسه و رقابت حرکت می‌کنه.
اون به‌جای این‌که دنبال بردن از دیگران باشه، دنبال تبدیل شدن به نسخهٔ عمیق‌تری از خودشه.
چنین آدمی قابل پیشی گرفتن نیست، چون اساساً وارد خط مسابقهٔ دیگران نمی‌شه...



⭐دوره سطح ۱ امنیت

🪙دوره CISSP

✅️دوره هایی متمایز حاصل ۲۳ سال تجربه


واتس اپ و بله 09902857290


📣به روز رسانی

پیرو علاقه و درخواست دوستان دوره های زیر هم اضافه شدند :

🏆سنز ۶۰۸ برای IR و فارنزیک سطح بزرگ سازمانی به همراه هانت ساختار یافتهThreat hunting ✅


🏆سنز ۵۹۹ برای تیم بنفش سایبری (پیش نیاز برای دوره ۶۹۹)

نه فقط ابزار !!

در دوره فارنزیک ، IR و هانت علاوه بر ابزار، من به اساس و شالوده هانت و فارنزیک میپردازم . ابزارها را در بوته های نقد سناریو ها به چالش میکشم تا بتوانید اصول و مفاهیم را طوری بیاموزید که با غیر موثر شدن ابزار جاری در هانت و تا آمدن ابزار جدید، همچنان توانمند باشید و اتکای شما به ابزار به حداقل برسد.

💫👌اگر مفهوم را خوب درک کنید آنگاه میتوانید امیدوار باشید واقعا برای کشف APT آماده اید!! اما اگر فقط تنها به ابزار تکیه کنیم ، فقط مانند موتور کشف امضا هستیم. 😢

در دوره من ، شما اول مفهوم را درک میکنید بعد با آنچه قبلا از سایر دوره ها فراگرفته اید مخلوط میکنید بعد با ابزار ، حاصل آنرا تست مینمایید.


اگر علاقمند بودید به واتس اپ و بله 09902857290 پیام دهید و در کلاس من باشید.

لیست دوره ها را از همین شماره بخواهید که بدانید زمانبندی چطور است.


برای نمونه از مثالهای کلاس، لینک زیر را درج میکنم

https://evals.mitre.org/enterprise/apt3/