« Azure AD 同步服务加载不受信任的 DLL 用户的不寻常 AWS 命令 »
Elastic 文档 ›Elastic Security Solution [8.17] ›检测和告警 ›预构建规则参考

加载不受信任的驱动程序

编辑

加载不受信任的驱动程序

编辑

识别尝试加载不受信任的驱动程序。攻击者可能会修改代码签名策略，以启用未签名或自签名代码的执行。

规则类型: eql

规则索引:

  • logs-endpoint.events.library-*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-9m (Date Math 格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 策略: 防御规避
  • 资源: 调查指南
  • 数据源: Elastic Defend

版本: 9

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查加载不受信任的驱动程序

Microsoft 创建了 Windows 驱动程序签名强制 (DSE) 安全功能，以防止签名无效的驱动程序加载并执行到内核（环 0）。DSE 旨在通过阻止攻击者在目标上加载恶意驱动程序来保护系统。

此保护对于维护系统安全至关重要。但是，攻击者或管理员可以禁用 DSE 并加载不受信任的驱动程序，这可能会使系统面临风险。因此，保持此功能启用并仅从受信任的来源加载驱动程序至关重要，以确保系统完整性和安全。

此规则识别尝试加载不受信任的驱动程序，这实际上意味着 DSE 已禁用或被绕过。这可能表明系统已被攻陷。

注意: 此调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在本指南中显示未呈现的 Markdown。

可能的调查步骤

  • 检查加载的驱动程序以识别潜在的可疑特征。以下操作可以帮助您获取上下文
  • 确定驱动程序加载的路径。如果您使用 Elastic Defend，可以在 dll.path 字段中找到路径信息。
  • 检查文件创建和修改时间戳
  • 在 Elastic Defend 上，可以在 dll.Ext.relative_file_creation_time 和 dll.Ext.relative_file_name_modify_time 字段中找到这些时间戳。这些值的单位为秒。
  • 搜索与 dll.name 字段具有相同文件名的文件创建事件，并确定负责该操作的进程。
  • 调查主体进程的任何其他异常行为，例如网络连接、注册表或文件修改以及任何衍生的子进程。
  • 使用驱动程序 SHA-256（dll.hash.sha256 字段）哈希值在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索存在和信誉。
  • 调查过去 48 小时内与用户/主机相关的其他警报。
  • 通过查找跨主机的类似事件来评估此行为在环境中是否普遍。
  • 使用 Osquery 调查加载到系统中的驱动程序。
  • !{osquery{"label":"Osquery - 检索带有 Virustotal 链接的所有非 Microsoft 驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE NOT (provider == \"Microsoft\" AND signed == \"1\")\n"}}
  • !{osquery{"label":"Osquery - 检索带有 Virustotal 链接的所有未签名驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE signed == \"0\"\n"}}
  • 确定驱动程序的 设备名称 和 服务名称。
  • 检查 相关规则 部分中指定的规则的警报。

误报分析

  • 此活动不应合法发生。安全团队应解决任何潜在的良性真阳性 (B-TP)，因为此配置可能会使用户和域面临风险。

相关规则

  • 首次看到加载的驱动程序 - df0fd41e-5590-4965-ad5e-cd079ec22fa9
  • 通过注册表修改代码签名策略 - da7733b1-fe08-487e-b536-0a04c6d8b0cd
  • 通过内置工具修改代码签名策略 - b43570de-a908-4f7f-8bdb-b2df6ffd8c80

响应和补救

  • 根据分类的结果启动事件响应过程。
  • 隔离相关主机以防止进一步的妥协后行为。
  • 禁用并卸载系统中找到的所有可疑驱动程序。这可以通过设备管理器完成。（请注意，此步骤可能需要您将系统启动到安全模式。）
  • 删除系统中找到的相关服务和注册表项。请注意，如果仍然安装了驱动程序，则该服务可能不会停止。
  • 这可以通过 PowerShell Remove-Service cmdlet 完成。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
  • 如果分类确定了恶意软件，请在环境中搜索其他受感染的主机。
  • 实施临时的网络规则、程序和分段以控制恶意软件。
  • 停止可疑进程。
  • 立即阻止已识别的入侵指标 (IoC)。
  • 检查受影响的系统是否存在其他恶意软件后门，例如反向 shell、反向代理或攻击者可能用来重新感染系统的 droppers。
  • 删除并阻止在分类过程中识别的恶意工件。
  • 确保系统上启用了驱动程序签名强制。
  • 调查受感染或攻击者使用的系统上的凭据泄露，以确保识别所有受感染的帐户。重置这些帐户和其他可能受感染的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
  • 确定攻击者滥用的初始向量，并采取行动以防止通过相同的向量重新感染。
  • 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
driver where host.os.type == "windows" and process.pid == 4 and
  dll.code_signature.trusted != true and
  not dll.code_signature.status : ("errorExpired", "errorRevoked", "errorCode_endpoint:*")

框架: MITRE ATT&CKTM

« Azure AD 同步服务加载不受信任的 DLL 用户的不寻常 AWS 命令 »