גילוי פריצה עם ETW
SilkETW
פרקי ההרצאה: גילוי פריצה עם ETW SilkETW
תמלול ההרצאה: גילוי פריצה עם ETW SilkETW
הטקסט המלא של הדקות הראשונות בהרצאה «גילוי פריצה עם ETW SilkETW» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזו אנחנו רוצים לתפוס CMD חדש שנוצר בתוך הספול סרוויס של שרת ההדפסות הוא מתחבא שם בפנים עם הרשאות של סיסטם אנחנו רוצים לתפוס את הדבר החשוד הזה על ידי מערכת ETW של Windows שעוקבת אחרי הקרנל של Windows קרנל זאת הליבה של מערכת ההפעלה ואי אפשר לעקוף אותה ואי אפשר להתחבא ממנה כי היא זאתי שעושה דברים תכלס בפועל.
אז אנחנו רוצים לעקוב אחרי הליבה הזאת, אחרי הלוגים שלה, נשים את הכל בקובץ JSON, נעשה את זה בעזרת תוכנת Silk ETW, נתפוס את המקרה של יצירת CMD בתוך הפרינטס פולר, ונראה איך אנחנו רואים את זה בתוך הקובץ של הלוג.
אנחנו נעשה למעשה את הדוגמה שלהם תכלס, נראה שהכל עובד לנו בפועל. אז יש לנו פה שני שחקנים, את ה-Silk ETW שעוקב אחרי הלוג ו-Power של זדוני שמזריק את ה-CMD לתוך ה-Print Spooler.
אז בואו ניכנס לתוך מכונה וירטואלית ונתחיל להכין את זה. דבר ראשון, אני רוצה להיכנס לתוך המכונה הווירטואלית שלהם, ולכן אני יצרתי כאן מכונה וירטואלית בתוך השרת שלהם, בענן שלהם.
יש לנו 89 דקות לסיים את התרגיל הזה. אחרי זה מכונה עוברת shutdown, דיבוי וטרמיניישן ואפשר ליצור מכונה מחדש, מכונה חדשה, כל שעתיים אפשר ליצור מכונה מחדש.
אז אני נכנס לתוך הווינדוס 11, עושה רייט קליק קונקט לתוך ה-VPN שלהם, קיבלנו כתובת IP פנימית שמה, עושים עכשיו remote desktop Connection ומתחברים ל-IP שהם נתנו לי.
בואו נבדוק שזה נכון, 54 בסוף, נכון, ונתחבר עם User Administrator והסיסמה הזאת, הוא אומר לי שהוא לא מצליח להתחבר, אז פשוט נשמיד את המכונה ונלחץ כאן ליצור מכונה חדשה.
Spawn זה לייצר, ליצור, ונחכה שהוא ייצור לנו מכונה בענן שלהם על השרתים שלהם. אוקיי, קיבלנו כתובת IP, אנחנו נכנסים לתוך מכונה וירטואלית שמחוברת ל-VPN שלהם ועושים קונקט.
אנחנו בלאן הפנימי בזכות ה-VPN, מתחברים. בואו נביא עכשיו את ה-user בינתיים. הנה זה ה-user name. הוא אומר לי שהתעודה סרטיפיקייט איז נוט טראסטד היא לא מגיעה מטראסטד סי איי מאבא שסומכים עליו ולא יודעים מי הנפיק את זה לא נורא נעשה יס יופי אנחנו בתוך המכונה שלהם נעשה סי אם די ראנז אדמיניסטרטור בתוך
הסי אם די ירוץ לנו הכלי של אי טי דאבליו שנמצא בתיקייה הזאת הם נותנים לנו פה דוגמאות מתוך המכונה שלהם ואנחנו משחזרים את זה ולומדים מתוך זה אז אני נכנס לתיקייה הזאת, שם אותה פה בצד, ובצד השני אני אשים PowerShell.
אני עושה Run as Administrator כי PowerShell זה למעשה ה-PowerShell הזדוני שהולך לעשות הזרקה של CMD לתוך פרינצפולר. נהדר, נעשה cd/, נצא לתיקייה ראשית.
בינתיים פה הכנתי את הפקודה שמתחילה לאסוף לי נתונים עם Silk ETW מתוך קרן. זאת אומרת סילק ETW מתחבר למערכת ETW של ווינדוס מייצר שם סשן בפנים שמאזין לפרוביידר בשם Windows Kernel Process הפרוביידר הזה מספק אירועים מתוך הליבה מתוך הקרנל על תהליכים חדשים על תוכנות חדשות שמופעלות במחשב ורושם הכל לתוך הקובץ הזה ברגע שנעשה Enter מערכת
המעקב של ETW נוכל לראות שנוצר סשן חדש פה באיבנט טרייסינג סיישן כרגע אין לנו פה סילק תסתכלו אין לנו פה שום סיישן של סילק ברגע שנעשה פה אנטר אתם תראו שנוצר סיישן חדש שעוקב אחרי האירועים במקום שנעשה את זה ידנית בממשל גרפי התוכנה עושה לנו את זה בשורת פקודה עכשיו לגבי ההזרקה ניכנס לתיקי איפה שיש את הסקריפט של פאוורשל cd זה change directory
האמת הפקודה בפאוורשל היא אחרת אליאס cd אנחנו נראה שזה קיצור cd זה קיצור לפקודה אמיתית בפאוורשל שנקראת set-location יכלנו לכתוב set-location רווח התיקייה אני כתבתי cd כי אני רגיל מימים של cmd לכתוב פקודות של DOS ולטובת אנשים כמוני הם עשו לנו אליאס קיצור שcd למעשה מפעיל את הפקודה המקורית עכשיו אנחנו מפעילים פאוורשל עם
בייפאס זה אומר שייתן לנו להריץ סקריפטים כי פקודה הבאה מריצה לנו סקריפט, היא למעשה מייבא לנו את הסקריפט עם כל הפונקציות שלו, בלי בייפס זה לא היה עובד.
אפשר גם לשנות מדיניות של פאור של באופן גלובלי במערכת, כרגע לא מתעסקים בזה, וצריך להריץ פה את הפקודה הזאת. רק אני רואה שכאן בסוגריים הם רוצים שנשים להם processid של spoolervice.exe.
אז בוא נמצא את ה-spoolservice, יש לנו כמה שיטות, שיטה ראשונה זה ממשק גרפי לבוא לטאסק מנאג'ר לחפש פה