› › ›

通过 Certreq 进行的潜在文件传输

编辑

通过 Certreq 进行的潜在文件传输编辑

识别发出 HTTP Post 请求的 Certreq。攻击者可能会滥用 Certreq 将文件下载到远程 URL 或将数据上传到远程 URL。

规则类型：eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.*
endgame-*
logs-system.security*

严重程度：中等

风险评分: 47

运行频率：5 分钟

搜索索引的时间范围：now-9m（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考:

https://lolbas-project.github.io/lolbas/Binaries/Certreq/

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：防御规避
战术：命令与控制
战术：渗透
数据源：Elastic Endgame
数据源：Elastic Defend

版本: 8

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过 Certreq 进行的潜在文件传输

Certreq 是 Windows 操作系统中的一个命令行实用程序，允许用户从证书颁发机构请求和管理证书。它主要用于生成证书签名请求 (CSR) 和安装证书。但是，攻击者可能会滥用 Certreq 的功能，通过发出 HTTP POST 请求将文件下载到远程 URL 或将数据上传到远程 URL。

此规则可识别 Certreq 被滥用以将文件下载到远程 URL 或将数据上传到远程 URL 的可能性。

注意：本调查指南使用 Elastic Stack 8.5.0 版中引入的Osquery Markdown 插件。旧版 Elastic Stack 将在本指南中显示未渲染的 Markdown。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查其可执行文件的流行程度、它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
确定执行该操作的用户帐户，以及该帐户是否应执行此类操作。
联系帐户所有者，确认他们是否知晓此活动。
调查在过去 48 小时内与用户/主机关联的其他警报。
通过查找跨主机的类似事件，评估此行为在环境中是否普遍存在。
检查删除的文件的详细信息，以及该文件是否已执行。
检查用于托管下载文件的域或 IP 地址的信誉，或者用户是否从内部系统下载了该文件。
检查主机是否存在指示可疑活动的派生工件
使用私有沙盒分析系统分析文件。
观察和收集有关沙盒和警报目标主机中以下活动的信息
尝试联系外部域和地址。
使用 Elastic Defend 网络事件，通过按进程的 process.entity_id 过滤，确定目标进程联系的域和地址。
检查 DNS 缓存中是否存在可疑或异常条目。
!{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
使用 Elastic Defend 注册表事件检查进程树中相关进程访问、修改或创建的注册表项。
检查主机服务中是否存在可疑或异常条目。
!{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
!{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
!{osquery{"label":"Osquery - 检索包含 Virustotal 链接的服务未签名可执行文件","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。

误报分析

此活动不常见，但管理员可以执行。如果需要，可以将良性真阳性 (B-TP) 添加为例外。

响应和修复

根据分类结果启动事件响应流程。
隔离相关主机，以防止进一步的攻击后行为。
如果分类识别出恶意软件，请在环境中搜索其他受感染主机。
实施临时网络规则、程序和分段，以遏制恶意软件。
停止可疑进程。
立即阻止已识别的攻击指标 (IoC)。
检查受影响的系统是否存在其他恶意软件后门，例如反向 shell、反向代理或攻击者可能用来再次感染系统的 dropper。
删除并阻止在分类过程中识别的恶意工件。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受感染的帐户。重置这些帐户和其他可能泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者滥用的初始向量，并采取措施防止通过同一向量再次感染。
使用事件响应数据更新日志记录和审核策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and
 (process.name : "CertReq.exe" or ?process.pe.original_file_name == "CertReq.exe") and process.args : "-Post"

框架：MITRE ATT&CK^TM

战术
- 名称：命令与控制
- ID：TA0011
- 参考 URL：https://attack.mitre.org/tactics/TA0011/
技术
- 名称：入口工具传输
- ID：T1105
- 参考 URL：https://attack.mitre.org/techniques/T1105/
战术
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：系统二进制代理执行
- ID：T1218
- 参考 URL：https://attack.mitre.org/techniques/T1218/
战术
- 名称：渗透
- ID：TA0010
- 参考 URL：https://attack.mitre.org/tactics/TA0010/
技术
- 名称：通过 Web 服务渗透
- ID：T1567
- 参考 URL：https://attack.mitre.org/techniques/T1567/

« 通过无头浏览器进行的潜在文件下载潜在的隐藏本地用户帐户创建 »