זיהוי הזרקת Powershell
חלק 1

בלי כתוביותעם כתוביות

מילון מושגים:

PowerShell - סביבת שורת פקודה ושפת סקריפטים של מיקרוסופט לניהול אוטומטי של מערכות Windows ושירותים.

DLL - קובץ ספרייה ב-Windows המכיל קוד ופונקציות שתוכנות שונות יכולות לטעון ולהשתמש בהן במשותף.

CLR - סביבת הריצה של .NET שמריצה את הקוד, מנהלת את הזיכרון ומטפלת בשגיאות (Common Language Runtime).

לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.

אירוע - התרחשות שהמערכת מזהה ויכולה להגיב לה, כמו לחיצת עכבר, הקשה או סיום פעולה.

זיהוי הזרקת Powershell חלק 1

איתור תוכנה שהריצה קוד PowerShell "unmanaged" - בלי המעטפת המקורית של powershell.exe ובלי ההגנות שלה.

מה זה unmanaged PowerShell ואיך מאתרים אותו

1. העיקרון: כשתוכנה מריצה פקודות PowerShell בלי לעבור דרך powershell.exe, היא "מקלפת" את המעטפת שמעניקה הגנות מסוימות. אפשר לזהות זאת לפי טעינה לא רגילה של ה-DLL-ים clr.dll ו-clr jit.dll, שאמורים להיטען רק על ידי PowerShell עצמו.

2. חיפוש ביומן: באירוע מספר 7 (טעינת DLL) בוחנים את שדה Original Filename כדי לראות איזה DLL נטען ועל ידי איזו תוכנה.

3. ההשוואה שמגלה את החשד: אירוע אחד הראה ש-powershell.exe עצמו טען את clr jit.dll - תקין. אירוע אחר הראה שתוכנה לגמרי אחרת (מחשבון Windows) טענה אותו DLL - חשוד, כי מחשבון לא אמור להשתמש ב-DLL-ים של PowerShell.

שימו לב

מתי זיהוי כזה אפשרי: רק כשה-DLL נטען על ידי תוכנה שבאופן טבעי לא קשורה אליו בכלל - זה הסימן שמעיד על ניצול.

הסטודנט יודע עכשיו לאתר לפי DLL-ים ייחודיים ל-PowerShell תוכנה שמשמשת ערוץ עוקף להרצת פקודות PowerShell.

השיעור הבא בקורס: זיהוי הזרקת Powershell חלק 2

פרקי ההרצאה: זיהוי הזרקת Powershell חלק 1

תמלול ההרצאה: זיהוי הזרקת Powershell חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי הזרקת Powershell חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. בהרצאה הזו אנחנו הולכים לגלות איזו תוכנה הריצה קוד unmanaged של PowerShell. מה זה בכלל unmanaged code? זה פקודות של PowerShell שמריצים בלי ה-PowerShell עצמו, כאילו עוקפים את המעטפת של PowerShell נקודה exe.
00:21
אפשר לראות כאן בפרק הקודם שדיברנו על חטיפת DLL-ים ועל הרצת קוד של .NET שהוא unmanaged. היה פה משפט שלא ייחסנו לו חשיבות אבל עכשיו הוא מאוד מאוד חשוב לתרגיל הזה, שכדי לזהות unmanaged PowerShell, לזהות הרצה לא חוקית של פקודות PowerShell בלי המעטפת של ה-PowerShell, כי במעטפת של ה-PowerShell יש גם הגנות, אז אנחנו כאילו מקלפים את המעטפת ומריצים ישירות את הפקודות של PowerShell.
00:53
צריך לחפש טעינה לא חוקית של שני DLL-ים, clr dll ו-clr jit dll. זאת אומרת ה-DLL-ים האלו אמורים להיטען על ידי PowerShell ואם מישהו כתב תוכנה שמטעינה אותם לבד, כנראה שהוא מנסה לעקוף את ה-PowerShell המקורי ואת ההגנות שלו.
01:12
דרך אגב, בשיטה דומה גם את התוכנות של .NET אפשר להריץ בצורה לא מסודרת על ידי שני ה-DLL-ים האלו, mscore dll ו-clr dll. שימו לב, יש פה clr dll בשניהם וזה ייחודי ל-PowerShell.
01:27
אז בואו נחפש אותו. אבל קודם כל צריך להיכנס לתיקייה עם כל ה-logs. התקנתי פה בינתיים PowerShell 7 שיהיה לנו יותר קל לעבוד.
01:36
נעשה finish. זה מאתר של Microsoft ואני כותב פה PowerShell ובמקום PowerShell הרגיל מריץ את הגרסה החדשה יותר. אז אני אסכם לכם.
01:45
Unmanaged PowerShell is a way of executing PowerShell commands, דרך להריץ את ה-PowerShell without using PowerShell exe. ונעשה את זה עם פקודה הזאת ששולפת לנו את כל