MS Office宏安全注册表修改

编辑

MS Office宏安全注册表修改

编辑

Microsoft Office产品为用户和开发者提供了控制运行和使用宏的安全设置的选项。攻击者可能会滥用这些安全设置来修改Office应用程序的默认行为，以信任未来的宏和/或禁用安全警告，从而增加他们建立持久性的机会。

规则类型: eql

规则索引:

winlogbeat-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 中等

风险评分: 47

每: 5分钟运行一次

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
策略: 防御规避
资源: 调查指南
数据源: Elastic Endgame
数据源: Sysmon
数据源: Microsoft Defender for Endpoint
数据源: SentinelOne

版本: 308

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 MS Office宏安全注册表修改

宏是在 Microsoft Office 应用程序中用于自动化重复性任务的小程序。历史上，宏被用于各种原因——从自动化部分工作到构建整个流程和数据流。宏是用 Visual Basic for Applications (VBA) 编写的，并作为 Microsoft Office 文件的一部分保存。

宏通常出于合法原因创建，但它们也可以由攻击者编写以获取访问权限、损害系统或绕过其他安全控制，例如应用程序允许列表。事实上，恶意宏的利用是当今组织受到攻击的主要方式之一。这些攻击通常通过网络钓鱼或鱼叉式网络钓鱼活动进行。

攻击者可以诱骗受害者修改 Microsoft Office 安全设置，以便他们的宏默认情况下被信任，并且在执行时不会显示任何警告。这些设置包括：

信任对 VBA 项目对象模型的访问 - 启用后，Microsoft Office 将信任所有宏并运行任何代码，而无需显示安全警告或需要用户权限。
VbaWarnings - 设置为 1 时，Microsoft Office 将信任所有宏并运行任何代码，而无需显示安全警告或需要用户权限。

此规则查找影响上述条件的注册表更改。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查其可执行文件的存在性、它们是否位于预期位置以及它们是否使用有效的数字签名进行签名。
确定执行此操作的用户帐户以及该帐户是否应该执行此类操作。
联系用户并检查更改是否手动完成。
验证注册表更改后是否执行了恶意宏。
调查过去 48 小时内与用户/主机关联的其他告警。
检索最近执行的 Office 文档并确定它们是否为恶意文件。
使用私有的沙箱化恶意软件分析系统进行分析。
观察并收集有关以下活动的信息：
尝试联系外部域和地址。
文件和注册表访问、修改和创建活动。
服务创建和启动活动。
计划任务创建。
使用 PowerShell Get-FileHash cmdlet 获取文件的 SHA-256 哈希值。
在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在性和信誉。

误报分析

此活动不应该合法发生。安全团队应解决任何潜在的良性真阳性 (B-TP)，因为此配置可能会使用户和域面临风险。

响应和补救

根据分类结果启动事件响应流程。
重置注册表键值。
隔离相关主机以防止进一步的入侵后行为。
调查受攻击系统或攻击者使用的系统上的凭据泄露，以确保识别所有受攻击帐户。重置这些帐户以及其他可能受攻击的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
探索使用 GPO 来管理 Microsoft Office 宏的安全设置。
运行完整的反恶意软件扫描。这可能会显示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始载体，并采取措施防止通过同一载体再次感染。
使用事件响应数据更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

registry where host.os.type == "windows" and event.type == "change" and registry.value : ("AccessVBOM", "VbaWarnings") and
    registry.path : (
        /* Sysmon */
        "HKU\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "HKU\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        "HKU\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "HKU\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        /* MDE */
        "HKCU\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "HKCU\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        "HKCU\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "HKCU\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        /* Endgame */
        "\\REGISTRY\\USER\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "\\REGISTRY\\USER\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        "\\REGISTRY\\USER\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "\\REGISTRY\\USER\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        /* SentinelOne */
        "USER\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "USER\\S-1-5-21-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings",
        "USER\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\AccessVBOM",
        "USER\\S-1-12-1-*\\SOFTWARE\\Microsoft\\Office\\*\\Security\\VbaWarnings"
        ) and
    registry.data.strings : ("0x00000001", "1")

框架: MITRE ATT&CK^TM

策略
- 名称: 防御规避
- ID: TA0005
- 参考网址: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 修改注册表
- ID: T1112
- 参考网址: https://attack.mitre.org/techniques/T1112/
策略
- 名称: 执行
- ID: TA0002
- 参考网址: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 用户执行
- ID: T1204
- 参考网址: https://attack.mitre.org/techniques/T1204/
子技术
- 名称: 恶意文件
- ID: T1204.002
- 参考网址: https://attack.mitre.org/techniques/T1204/002/

« Google Workspace组织 MFA 已禁用 MacOS 安装程序包触发网络事件 »