通过重命名 COM+ 服务 DLL 进行潜在的凭据访问

编辑

通过重命名 COM+ 服务 DLL 进行潜在的凭据访问

编辑

识别可疑的重命名 COMSVCS.DLL 映像加载，该映像导出可用于转储进程内存的 MiniDump 函数。这可能表示试图转储 LSASS 内存，同时绕过基于命令行的检测，以准备进行凭据访问。

规则类型: eql

规则索引:

winlogbeat-*
logs-windows.sysmon_operational-*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

https://modexp.wordpress.com/2019/08/30/minidumpwritedump-via-com-services-dll/

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 凭据访问
战术: 防御规避
数据源: Sysmon

版本: 208

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查通过重命名 COM+ 服务 DLL 进行的潜在凭据访问

COMSVCS.DLL 是一个 Windows 库，它导出 MiniDump 函数，该函数可用于转储进程内存。攻击者可能会尝试使用重命名的 COMSVCS.DLL 转储 LSASS 内存，以绕过基于命令行的检测并获得对凭据的未授权访问。

此规则识别可疑的 rundll32.exe 加载重命名 COMSVCS.DLL 映像的实例，这可能表明存在滥用 MiniDump 函数进行凭据盗窃的潜在行为。

注意：此调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在此指南中显示未渲染的 Markdown。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查它们的可执行文件是否存在，它们是否位于预期的位置，以及它们是否使用有效的数字签名进行签名。
调查主题进程的任何异常行为，例如网络连接、注册表或文件修改，以及任何派生的子进程。
使用文件创建事件标识创建 DLL 的进程。
检查该文件是否有有用的元数据，例如文件大小以及创建或修改时间。
检查主机上是否有表明可疑活动的派生工件
使用私有沙盒分析系统分析进程可执行文件和 DLL。
观察并收集沙箱和警报主题主机中以下活动的信息
尝试联系外部域和地址。
使用 Elastic Defend 网络事件，通过按进程的 process.entity_id 进行筛选，确定主题进程联系的域和地址。
检查 DNS 缓存中是否存在可疑或异常条目。
!{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
使用 Elastic Defend 注册表事件，检查进程树中相关进程访问、修改或创建的注册表项。
检查主机服务中是否存在可疑或异常条目。
!{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
!{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
!{osquery{"label":"Osquery - 检索具有 Virustotal 链接的服务未签名可执行文件","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。
通过查找跨主机的类似事件，评估此行为在环境中是否普遍存在。
在其他系统上查找相关工件的存在。确定潜在受损系统之间的共同点和差异。

误报分析

误报可能包括 rundll32.exe 加载重命名 COMSVCS.DLL 映像用于非恶意目的的合法实例，例如在软件开发、测试或故障排除期间。

相关规则

通过 LSASS 内存转储进行潜在的凭据访问 - 9960432d-9b26-409f-972b-839a959e79e2
LSASS 加载的可疑模块 - 3a6001a0-0939-4bbe-86f4-47d8faeb7b97
可疑的 Lsass 进程访问 - 128468bf-cab1-4637-99ea-fdf3780a4609
通过 Windows API 进行的 LSASS 进程访问 - ff4599cb-409f-4910-a239-52e4e6f532ff

响应和补救

根据分类的结果启动事件响应过程。
如果确认存在恶意活动，则执行更广泛的调查以确定漏洞的范围，并确定适当的补救步骤。
实施 Elastic Endpoint Security 以检测和阻止环境中进一步的后渗透活动。
通过将受影响的系统与网络隔离来遏制该系统，以防止攻击进一步扩散。
如果分类识别出恶意软件，请在环境中搜索其他受损主机。
实施临时网络规则、程序和分段以遏制恶意软件。
停止可疑进程。
立即阻止已识别的入侵指标 (IoC)。
检查受影响的系统是否存在其他恶意软件后门，如反向 Shell、反向代理或攻击者可能用于重新感染系统的 Dropper。
删除并阻止分类过程中识别出的恶意工件。
通过应用任何必要的补丁、更新或配置更改，将受影响的系统恢复到其运行状态。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别出所有受损帐户。重置这些帐户和其他可能受损的凭据（如电子邮件、业务系统和 Web 服务）的密码。
运行完整的反恶意软件扫描。这可能会揭示系统中遗留的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始向量，并采取行动以防止通过相同的向量重新感染。
使用事件响应数据，更新日志记录和审核策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

设置

您需要在 Sysmon 配置中启用 ImageLoads 的日志记录，以按 Imphash 或原始文件名包含 COMSVCS.DLL。

规则查询

编辑

sequence by process.entity_id with maxspan=1m
 [process where host.os.type == "windows" and event.category == "process" and
    process.name : "rundll32.exe"]
 [process where host.os.type == "windows" and event.category == "process" and event.dataset : "windows.sysmon_operational" and event.code == "7" and
   (file.pe.original_file_name : "COMSVCS.DLL" or file.pe.imphash : "EADBCCBB324829ACB5F2BBE87E5549A8") and
    /* renamed COMSVCS */
    not file.name : "COMSVCS.DLL"]

框架: MITRE ATT&CK^TM

战术
- 名称: 凭据访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
技术
- 名称: 操作系统凭据转储
- ID: T1003
- 参考 URL: https://attack.mitre.org/techniques/T1003/
子技术
- 名称: LSASS 内存
- ID: T1003.001
- 参考 URL: https://attack.mitre.org/techniques/T1003/001/
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 系统二进制代理执行
- ID: T1218
- 参考 URL: https://attack.mitre.org/techniques/T1218/
子技术
- 名称: Rundll32
- ID: T1218.011
- 参考 URL: https://attack.mitre.org/techniques/T1218/011/

« 通过内存转储文件创建进行潜在的凭据访问通过受信任的开发者实用程序进行潜在的凭据访问 »