« 来自恶意文档的潜在进程注入 通过 Chisel 客户端进行潜在协议隧道 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

通过 PowerShell 进行潜在进程注入

编辑

通过 PowerShell 进行潜在进程注入

编辑

检测恶意软件和安全工具通常滥用的 Windows API 函数，以加载恶意代码或将其注入远程进程。

规则类型: 查询

规则索引:

  • winlogbeat-*
  • logs-windows.powershell*

严重性: 高

风险评分: 73

每隔: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

  • 领域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 战术: 防御规避
  • 战术: 执行
  • 资源: 调查指南
  • 数据源: PowerShell 日志

版本: 213

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过 PowerShell 进行潜在进程注入

PowerShell 是系统管理员用于自动化、报告例程和其他任务的主要工具之一。 这使得它可以在各种环境中使用，并为攻击者提供了一种执行代码的有吸引力的方式。

PowerShell 还具有强大的功能，可以以简单可靠的方式与 Win32 API 交互，例如执行内联 C# 代码、PSReflect、Get-ProcAddress 等。

红队工具和恶意软件开发人员利用这些功能来开发将有效负载直接注入内存而无需触碰磁盘的阶段和加载程序，以规避基于文件的安全保护。

可能的调查步骤

  • 检查触发检测的脚本内容；查找可疑的 DLL 导入、收集或渗透功能、可疑函数、编码或压缩数据以及其他潜在的恶意特征。
  • 调查脚本执行链（父进程树）中是否存在未知进程。检查其可执行文件的存在情况、它们是否位于预期位置以及它们是否使用有效的数字签名进行签名。
  • 检查来自相关 PowerShell 进程的文件或网络事件，以查找可疑行为。
  • 调查过去 48 小时内与用户/主机关联的其他告警。
  • 评估用户是否需要使用 PowerShell 来完成任务。
  • 检查是否执行了导入的函数以及它针对哪个进程。
  • 检查是否可以检索注入的代码（硬编码在脚本中或命令行日志中）。

误报分析

  • 此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

相关规则

  • PowerShell PSReflect 脚本 - 56f2e9b5-4803-4e44-a0a4-a52dc79d57fe

响应和补救措施

  • 根据分类结果启动事件响应流程。
  • 隔离相关主机以防止进一步的入侵后行为。
  • 使用 GPO、AppLocker、Intune 或类似软件限制 IT 和工程业务部门以外的 PowerShell 使用。
  • 调查受损系统或攻击者使用的系统上的凭据泄露，以确保识别所有受损帐户。重置这些帐户和其他可能受损的凭据（如电子邮件、业务系统和 Web 服务）的密码。
  • 运行完整的反恶意软件扫描。这可能会发现系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始载体，并采取措施防止通过相同载体重新感染。
  • 使用事件响应数据更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

必须启用“PowerShell 脚本块日志记录”日志记录策略。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Administrative Templates >
Windows PowerShell >
Turn on PowerShell Script Block Logging (Enable)

通过注册表实施日志记录策略的步骤

reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1

规则查询

编辑
event.category:process and host.os.type:windows and
  powershell.file.script_block_text : (
   (VirtualAlloc or VirtualAllocEx or VirtualProtect or LdrLoadDll or LoadLibrary or LoadLibraryA or
      LoadLibraryEx or GetProcAddress or OpenProcess or OpenProcessToken or AdjustTokenPrivileges) and
   (WriteProcessMemory or CreateRemoteThread or NtCreateThreadEx or CreateThread or QueueUserAPC or
      SuspendThread or ResumeThread or GetDelegateForFunctionPointer)
  ) and not
  file.directory: (
    "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\SenseCM" or
    "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Downloads"
  )

框架: MITRE ATT&CKTM

« 来自恶意文档的潜在进程注入 通过 Chisel 客户端进行潜在协议隧道 »