› › ›

通过时间提供程序修改实现潜在持久性

通过时间提供程序修改实现潜在持久性编辑

识别时间提供程序的修改。攻击者可能会通过注册并启用恶意 DLL 作为时间提供程序来建立持久性。Windows 使用时间提供程序架构从网络中的其他网络设备或客户端获取准确的时间戳。时间提供程序以 DLL 文件的形式实现，该文件位于 System32 文件夹中。服务 W32Time 在 Windows 启动期间启动并加载 w32time.dll。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
endgame-*
logs-windows.sysmon_operational-*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从以下时间开始搜索索引: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

https://pentestlab.blog/2019/10/22/persistence-time-providers/

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：持久性
策略：权限提升
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon

版本: 109

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南编辑

分类和分析

调查通过时间提供程序修改实现潜在持久性

Windows 中的时间提供程序架构负责从网络设备或客户端获取准确的时间戳。它在 System32 文件夹中实现为一个 DLL 文件，并在 Windows 启动期间由 W32Time 服务启动。攻击者可以通过注册和启用恶意 DLL 作为时间提供程序来利用这一点，以建立持久性。

此规则识别与时间提供程序关联的注册表路径中的更改，具体针对新增 DLL 文件。

注意：此调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。较早的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。

可能的调查步骤

调查未知进程的进程执行链（父进程树）。检查其可执行文件是否普遍存在，它们是否位于预期位置，以及它们是否已使用有效的数字签名进行签名。
调查过去 48 小时内与用户/主机关联的其他警报。
检查 DLL 是否已签名。
检索 DLL 并确定它是否为恶意 DLL
使用私有沙箱分析系统分析文件。
观察并收集沙箱和警报主题主机中以下活动的详细信息
尝试联系外部域和地址。
使用 Elastic Defend 网络事件通过按进程的 process.entity_id 过滤来确定主题进程联系的域和地址。
检查 DNS 缓存是否有可疑或异常的条目。
!{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
使用 Elastic Defend 注册表事件检查进程树中相关进程访问、修改或创建的注册表项。
检查主机服务是否有可疑或异常的条目。
!{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
!{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
!{osquery{"label":"Osquery - 检索带有 Virustotal 链接的未签名可执行服务","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希值的存在和声誉。

误报分析

此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

根据分类结果启动事件响应流程。
隔离涉及的主机，以防止进一步的入侵后行为。
如果分类识别出恶意软件，请在环境中搜索其他受损主机。
实施临时网络规则、程序和分段以遏制恶意软件。
停止可疑进程。
立即阻止已识别的入侵指标 (IoC)。
检查受影响的系统，是否存在攻击者可能用来重新感染系统的其他恶意软件后门，如反向 shell、反向代理或投放器。
删除和阻止分类期间识别的恶意工件。
将时间提供程序设置还原为所需状态。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
调查攻击者入侵或使用的系统上的凭据泄露，以确保识别出所有受损帐户。重置这些帐户和其他可能受损的凭据的密码，例如电子邮件、业务系统和网络服务。
确定攻击者滥用的初始媒介，并采取行动防止通过同一媒介重新感染。
使用事件响应数据，更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

registry where host.os.type == "windows" and event.type:"change" and
  registry.path: (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\W32Time\\TimeProviders\\*",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\W32Time\\TimeProviders\\*"
  ) and
  registry.data.strings:"*.dll" and
  not
  (
    process.executable : "?:\\Windows\\System32\\msiexec.exe" and
    registry.data.strings : "?:\\Program Files\\VMware\\VMware Tools\\vmwTimeProvider\\vmwTimeProvider.dll"
  )

框架: MITRE ATT&CK^TM

策略
- 名称：持久性
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：启动或登录自动启动执行
- ID：T1547
- 参考 URL：https://attack.mitre.org/techniques/T1547/
子技术
- 名称：时间提供程序
- ID：T1547.003
- 参考 URL：https://attack.mitre.org/techniques/T1547/003/
策略
- 名称：权限提升
- ID：TA0004
- 参考 URL：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：启动或登录自动启动执行
- ID：T1547
- 参考 URL：https://attack.mitre.org/techniques/T1547/
子技术
- 名称：时间提供程序
- ID：T1547.003
- 参考 URL：https://attack.mitre.org/techniques/T1547/003/

« 通过定期任务实现潜在持久性潜在端口监视器或打印处理器注册滥用 »