首次发现加载的驱动程序

编辑

首次发现加载的驱动程序

编辑

识别在过去 30 天内首次观察到的具有原始文件名和签名值的驱动程序的加载。此规则类型可以帮助您建立环境中驱动程序安装的基线。

规则类型: new_terms

规则索引:

logs-endpoint.events.library-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

https://elastic.ac.cn/kr/security-labs/stopping-vulnerable-driver-attacks

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 权限提升
战术: 持久化
资源: 调查指南
数据源: Elastic Defend

版本: 8

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查首次发现加载的驱动程序

驱动程序是一种软件组件，允许操作系统与硬件设备通信。它在高特权级别（内核级别）运行，对系统的安全性和稳定性具有很高的控制权。

攻击者可能会利用已知但存在漏洞的驱动程序在其上下文中执行代码，因为一旦攻击者可以在内核中执行代码，安全工具就无法有效地保护主机。他们可以利用这些驱动程序来篡改、绕过和终止安全软件、提升权限、创建持久化机制以及禁用操作系统保护和监控功能。在实际攻击中，可以看到攻击者在执行勒索软件等目标之前执行这些操作。

请在此处阅读 Elastic Security Labs 发布的关于“停止易受攻击的驱动程序攻击”的完整研究这里。

此规则识别在过去 30 天内首次观察到的具有原始文件名和签名值的驱动程序的加载。此规则类型可以帮助您建立环境中驱动程序安装的基线。

注意：本调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。旧版本的 Elastic Stack 将在此指南中显示未呈现的 Markdown。

可能的调查步骤

检查加载的驱动程序，以识别潜在的可疑特征。以下操作可以帮助您获取上下文：
识别加载驱动程序的路径。如果使用 Elastic Defend，则此信息可以在 dll.path 字段中找到。
检查驱动程序的数字签名，并检查其是否有效。
检查文件的创建和修改时间戳
在 Elastic Defend 上，这些可以在 dll.Ext.relative_file_creation_time 和 "dll.Ext.relative_file_name_modify_time" 字段中找到，这些值以秒为单位。
搜索与 dll.name 字段具有相同文件名的文件创建事件，并识别负责该操作的进程。
调查主体进程的任何其他异常行为，例如网络连接、注册表或文件修改以及任何生成的子进程。
使用驱动程序的 SHA-256 (dll.hash.sha256 字段) 哈希值在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索其存在性和声誉。
调查过去 48 小时内与用户/主机相关的其他告警。
通过查找跨主机的类似事件，评估此行为是否在环境中普遍存在。
使用 Osquery 调查加载到系统中的驱动程序。
!{osquery{"label":"Osquery - 获取带有 Virustotal 链接的所有非 Microsoft 驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE NOT (provider == \"Microsoft\" AND signed == \"1\")\n"}}
!{osquery{"label":"Osquery - 获取带有 Virustotal 链接的所有未签名驱动程序","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, class, description, directory, image,\nissuer_name, manufacturer, service, signed, subject_name FROM drivers JOIN authenticode ON drivers.image =\nauthenticode.path JOIN hash ON drivers.image = hash.path WHERE signed == \"0\"\n"}}
识别驱动程序的 设备名称 和 服务名称。
检查 相关规则 部分中指定的规则的告警。

误报分析

从这些规则得出的匹配项本身并非恶意。安全团队应调查它们以确保它们是合法且需要的，然后在必要时才将其包括在允许列表中。安全团队应解决任何易受攻击的驱动程序安装，因为它可能会使用户和域面临风险。

相关规则

加载了不受信任的驱动程序 - d8ab1ec1-feeb-48b9-89e7-c12e189448aa
通过注册表进行的签名策略修改 - da7733b1-fe08-487e-b536-0a04c6d8b0cd
通过内置工具进行的签名策略修改 - b43570de-a908-4f7f-8bdb-b2df6ffd8c80

响应和补救

根据分类结果启动事件响应流程。
隔离涉及的主机，以防止进一步的入侵后行为。
禁用并卸载系统中发现的所有可疑驱动程序。可以通过设备管理器完成此操作。（请注意，此步骤可能需要您将系统启动到安全模式）
删除系统中找到的相关服务和注册表项。请注意，如果仍安装了驱动程序，则该服务可能不会停止。
可以通过 PowerShell Remove-Service cmdlet 完成此操作。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久化机制和恶意软件组件。
如果分类确定了恶意软件，请在环境中搜索其他受感染的主机。
实施临时网络规则、程序和分段以控制恶意软件。
停止可疑进程。
立即阻止已识别的入侵指标 (IoC)。
检查受影响的系统中是否存在其他恶意软件后门，例如反向 shell、反向代理或攻击者可能用来重新感染系统的 dropper。
删除并阻止分类期间识别的恶意工件。
确保系统上启用了驱动程序签名强制。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受感染的帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量进行重新感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

event.category:"driver" and host.os.type:windows and event.action:"load"

框架: MITRE ATT&CK^TM

战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 利用进行权限提升
- ID: T1068
- 参考 URL: https://attack.mitre.org/techniques/T1068/
战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 创建或修改系统进程
- ID: T1543
- 参考 URL: https://attack.mitre.org/techniques/T1543/
子技术
- 名称: Windows 服务
- ID: T1543.003
- 参考 URL: https://attack.mitre.org/techniques/T1543/003/

« 首次发现常见滥用的远程访问工具执行首次发现来自第三方应用程序的 Google Workspace OAuth 登录 »