通过浏览器调试潜在的 Cookie 窃取
编辑通过浏览器调试潜在的 Cookie 窃取
编辑识别带有调试进程参数的 Chromium 内核浏览器的执行，这可能表明尝试窃取身份验证 cookie。攻击者可能会窃取 Web 应用程序或服务会话 cookie，并使用它们以经过身份验证的用户身份访问 Web 应用程序或 Internet 服务，而无需凭据。
规则类型: eql
规则索引:
- auditbeat-*
- winlogbeat-*
- logs-endpoint.events.*
- logs-windows.*
严重性: 中
风险评分: 47
运行频率: 5 分钟
搜索索引起始于: now-9m (日期数学格式，另请参阅 额外回溯时间)
每次执行的最大警报数: 33
参考:
- https://github.com/defaultnamehere/cookie_crimes
- https://embracethered.com/blog/posts/2020/cookie-crimes-on-mirosoft-edge/
- https://github.com/rapid7/metasploit-framework/blob/master/documentation/modules/post/multi/gather/chrome_cookies.md
- https://posts.specterops.io/hands-in-the-cookie-jar-dumping-cookies-with-chromiums-remote-debugger-port-34c4f468844e
标签:
- 域：端点
- 操作系统：Linux
- 操作系统：Windows
- 操作系统：macOS
- 用例：威胁检测
- 战术：凭据访问
- 数据源：Elastic Defend
版本: 207
规则作者:
- Elastic
规则许可证: Elastic License v2
设置
编辑设置
如果在 <8.2 版本中为非 elastic-agent 索引（如 beats）启用 EQL 规则，则事件将不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效运行，用户需要添加自定义摄取管道以将 event.ingested 填充为 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html
规则查询
编辑process where event.type in ("start", "process_started", "info") and
process.name in (
"Microsoft Edge",
"chrome.exe",
"Google Chrome",
"google-chrome-stable",
"google-chrome-beta",
"google-chrome",
"msedge.exe") and
process.args : ("--remote-debugging-port=*",
"--remote-debugging-targets=*",
"--remote-debugging-pipe=*") and
process.args : "--user-data-dir=*" and not process.args:"--remote-debugging-port=0"
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：窃取 Web 会话 Cookie
- ID：T1539
- 参考 URL：https://attack.mitre.org/techniques/T1539/