📁 🤚🏼 👆 डिजिटल फोरेंसिक टिप्स और ट्रिक्स: कैसे एक घुसपैठिए का लकी सिक्का खोजें 🌎 🍓 🏇🏻

जैसा कि आप जानते हैं, कुछ लोग एक किस्मत के लिए या बाद में इस जगह पर वापस आने के लिए एक फव्वारे या समुद्र में सिक्के फेंकते हैं।

तो, साइबर हमलावर एक ही काम करते हैं - वे अक्सर आईटी इन्फ्रास्ट्रक्चर में कुछ छोटे मैलवेयर एजेंटों को फिर से छिपाने की संभावना रखते हैं।

आप इन तरीकों में से कुछ जानते हैं:

समय-समय पर एक मैलवेयर बीकन को फिर से चलाने के लिए एक नया अनुसूचित कार्य बनाएं;
सिस्टम रजिस्ट्री में एक नई ऑटोरन कुंजी बनाएं;
ऑटोस्टार्ट संपत्ति के साथ एक नई प्रणाली सेवा बनाएं;

लेकिन संक्रमित IT अवसंरचना का उपयोग करके आगे के लिए उच्च-विशेषाधिकार प्राप्त अनुमतियों को सहेजने के लिए एक और तरीका है - बदलते व्यवस्थापन अनुमतियाँ।

AdminSDholder के सैद्धांतिक भाग को समझने के लिए आप इंटरनेट से किसी भी लेख की जांच कर सकते हैं। उदाहरण के लिए यह एक कोशिश करो ।
संक्षेप में - सक्रिय निर्देशिका सेवाओं में समय-समय पर चलने वाली प्रक्रिया होती है, जो उपयोगकर्ता / समूह को सुरक्षा समूह (जैसे डोमेन प्रवेश, स्कीमा आदि) की सदस्यता बदलने की अनुमति दे सकती है। ऐसा करने के लिए एक हमलावर को केवल AdminSDHolder ACL में एक उपयोगकर्ता / समूह को जोड़ना होगा।

इसलिए, यदि किसी हमलावर को AdminSDHolder ACL को बदलने की पर्याप्त अनुमति मिल गई है, तो वह एक नया उपयोगकर्ता खाता बना सकता है और इस खाते का नाम AdminSDHolder ACL में जोड़ सकता है।

उपरोक्त लेख से, आप जानते हैं कि Powershell का उपयोग करके इस चीज़ के लिए AD की जाँच कैसे करें।
लेकिन YARA नियम का उपयोग करने की एक और विधि है।

हर बार जब कोई व्यक्ति AdminSDHolder ACL को बदलता है, तो एक विशिष्ट घटना 4662 डोमेन नियंत्रक सुरक्षा घटना लॉग में बनाई जा रही है:

अब हम इस घटना से मिली जानकारी का उपयोग YARA नियम बनाने के लिए कर सकते हैं।

यहाँ यह है:

rule adminSDholder { meta: maltype = "LuckyCoin" reference = "https://habr.com/ru/users/volnodumcev/" date = "17.05.2019" description = "YARA rule to find AdminSDholder being changed by a bad guy" strings: $hexEventID={ 36 12 00 00 00 00 00 00 20 80 } $object={ 7b 00 35 00 37 00 35 00 36 00 62 00 36 00 65 00 65 00 2d 00 65 00 62 00 61 00 31 00 2d 00 34 00 30 00 32 00 37 00 2d 00 38 00 32 00 39 00 64 00 2d 00 39 00 31 00 39 00 37 00 33 00 36 00 37 00 35 00 64 00 63 00 35 00 32 00 7d } $operation={ 7b 00 62 00 66 00 39 00 36 00 37 00 61 00 38 00 62 00 2d 00 30 00 64 00 65 00 36 00 2d 00 31 00 31 00 64 00 30 00 2d 00 61 00 32 00 38 00 35 00 2d 00 30 00 30 00 61 00 61 00 30 00 30 00 33 00 30 00 34 00 39 00 65 00 32 } condition: $hexEventID and $object and $operation }

तो, आप इस नियम का उपयोग Rekall / Volatility के साथ कर सकते हैं, उदाहरण के लिए, मेमोरी डंप को स्कैन करने के लिए।

ध्यान देने के लिए फिर से धन्यवाद! मैं जल्द ही एक नए अच्छे सामान के साथ वापस आऊंगा!

डिजिटल फोरेंसिक टिप्स और ट्रिक्स: कैसे एक घुसपैठिए का लकी सिक्का खोजें

More articles: