« 恶意文档中的潜在进程注入 通过 Chisel 客户端的潜在协议隧道 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预置规则参考

通过 PowerShell 的潜在进程注入

编辑

通过 PowerShell 的潜在进程注入编辑

检测恶意软件和安全工具通常滥用的 Windows API 函数的使用，以加载恶意代码或将其注入到远程进程中。

规则类型：查询

规则索引:

  • winlogbeat-*
  • logs-windows.powershell*

严重性：中等

风险评分: 47

每隔：5m 运行一次

从以下时间开始搜索索引：now-9m（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：防御规避
  • 策略：执行
  • 资源：调查指南
  • 数据源：PowerShell 日志

版本: 110

规则作者:

  • Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过 PowerShell 的潜在进程注入

PowerShell 是系统管理员用于自动化、报告例程和其他任务的主要工具之一。这使其可用于各种环境中，并为攻击者执行代码创造了一种有吸引力的方式。

PowerShell 还具有强大的功能，可以以简单可靠的方式与 Win32 API 进行交互，例如执行内联 C# 代码、PSReflect、Get-ProcAddress 等。

红队工具和恶意软件开发人员利用这些功能开发了直接将有效载荷注入内存而无需触及磁盘的 stager 和加载器，以规避基于文件的安全保护。

可能的调查步骤

  • 检查触发检测的脚本内容；查找可疑的 DLL 导入、收集或渗透功能、可疑函数、编码或压缩数据以及其他潜在的恶意特征。
  • 调查脚本执行链（父进程树）以查找未知进程。检查其可执行文件以了解其普遍性，它们是否位于预期位置，以及它们是否已使用有效的数字签名进行签名。
  • 检查涉及的 PowerShell 进程的文件或网络事件以查找可疑行为。
  • 调查过去 48 小时内与用户/主机关联的其他警报。
  • 评估用户是否需要使用 PowerShell 来完成任务。
  • 检查导入的函数是否已执行以及它针对哪个进程。
  • 检查是否可以检索注入的代码（硬编码在脚本中或在命令行日志中）。

误报分析

  • 此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

相关规则

  • PowerShell PSReflect 脚本 - 56f2e9b5-4803-4e44-a0a4-a52dc79d57fe

响应和补救

  • 根据分类结果启动事件响应流程。
  • 隔离涉及的主机以防止进一步的入侵后行为。
  • 使用 GPO、AppLocker、Intune 或类似软件限制 IT 和工程业务部门之外的 PowerShell 使用。
  • 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受入侵的帐户。重置这些帐户以及其他可能受入侵的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始向量，并采取措施防止通过同一向量再次感染。
  • 使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置编辑

设置

PowerShell 脚本块日志记录日志记录策略必须启用。使用高级审计配置实施日志记录策略的步骤

Computer Configuration >
Administrative Templates >
Windows PowerShell >
Turn on PowerShell Script Block Logging (Enable)

通过注册表实施日志记录策略的步骤

reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1

规则查询编辑

event.category:process and host.os.type:windows and
  powershell.file.script_block_text : (
   (VirtualAlloc or VirtualAllocEx or VirtualProtect or LdrLoadDll or LoadLibrary or LoadLibraryA or
      LoadLibraryEx or GetProcAddress or OpenProcess or OpenProcessToken or AdjustTokenPrivileges) and
   (WriteProcessMemory or CreateRemoteThread or NtCreateThreadEx or CreateThread or QueueUserAPC or
      SuspendThread or ResumeThread or GetDelegateForFunctionPointer)
  ) and not
  (user.id:("S-1-5-18" or "S-1-5-19") and
   file.directory: "C:\\ProgramData\\Microsoft\\Windows Defender Advanced Threat Protection\\SenseCM")

框架: MITRE ATT&CKTM

« 恶意文档中的潜在进程注入 通过 Chisel 客户端的潜在协议隧道 »