« 服务命令横向移动 通过本地 Kerberos 身份验证创建服务 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和告警 ›预构建规则参考

通过脚本解释器生成的服务控制

编辑

通过脚本解释器生成的服务控制

编辑

识别从脚本解释器进程生成的服务控制 (sc.exe)，用于创建、修改或启动服务。这可能表明试图提升权限或维持持久性。

规则类型: eql

规则索引:

  • logs-endpoint.events.process-*
  • logs-system.security*
  • winlogbeat-*
  • logs-windows.forwarded*
  • endgame-*
  • logs-m365_defender.event-*
  • logs-crowdstrike.fdr*

严重性: 低

风险评分: 21

运行频率: 5分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 其他回溯时间)

每次执行的最大告警数量: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：权限提升
  • 策略：防御规避
  • 策略：执行
  • 数据源：Elastic Endgame
  • 资源：调查指南
  • 数据源：Elastic Defend
  • 数据源：系统
  • 数据源：Microsoft Defender for Endpoint
  • 数据源：Crowdstrike

版本: 213

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查通过脚本解释器生成的服务控制

Windows 服务是以 SYSTEM 权限运行的后台进程，为其他应用程序和系统组件提供特定的功能或支持。

sc.exe 命令行实用程序用于管理和控制本地或远程计算机上的 Windows 服务。攻击者可以使用 sc.exe 创建、修改和启动服务，将其权限从管理员提升到 SYSTEM。

注意：本调查指南使用 Elastic Stack 8.5.0 版本中引入的 Osquery Markdown 插件。较旧的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查它们的可执行文件是否普遍存在，它们是否位于预期位置，以及它们是否使用有效的数字签名进行签名。
  • 检查与服务活动相关的命令行、注册表更改事件和 Windows 事件（例如，4697 和/或 7045）是否存在可疑特征。
  • 检查已创建和现有的服务、引用的可执行文件或驱动程序以及命令行参数是否存在可疑条目。
  • !{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
  • !{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
  • !{osquery{"label":"Osquery - 检索带有 Virustotal 链接的未签名服务可执行文件","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
  • 使用 PowerShell Get-FileHash cmdlet 检索引用文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。
  • 确定执行操作的用户帐户以及它是否应该执行此类操作。
  • 联系帐户所有者并确认他们是否知道此活动。
  • 调查过去 48 小时内与用户/主机相关的其他告警。
  • 通过查找跨主机的类似事件来评估此行为在环境中是否普遍存在。

误报分析

  • 如果此活动单独发生，则本质上不是恶意的。只要分析师没有发现与用户、主机和服务相关的可疑活动，就可以忽略此类告警。

响应和补救

  • 根据分类的结果启动事件响应流程。
  • 隔离涉及的主机以防止进一步的攻击后行为。
  • 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有被入侵的帐户。重置这些帐户和其他可能被泄露的凭据的密码，例如电子邮件、业务系统和 Web 服务。
  • 删除服务或将其恢复为原始配置。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中残留的其他工件、持久性机制和恶意软件组件。
  • 确定攻击者滥用的初始向量，并采取措施防止通过相同向量再次感染。
  • 使用事件响应数据，更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑
/* This rule is not compatible with Sysmon due to user.id issues */

process where host.os.type == "windows" and event.type == "start" and
  (process.name : "sc.exe" or ?process.pe.original_file_name == "sc.exe") and
  process.parent.name : ("cmd.exe", "wscript.exe", "rundll32.exe", "regsvr32.exe",
                         "wmic.exe", "mshta.exe","powershell.exe", "pwsh.exe") and
  process.args:("config", "create", "start", "delete", "stop", "pause") and
  /* exclude SYSTEM SID - look for service creations by non-SYSTEM user */
  not user.id : "S-1-5-18"

框架: MITRE ATT&CKTM

« 服务命令横向移动 通过本地 Kerberos 身份验证创建服务 »