« 启动文件夹上写入或修改的快捷方式文件 SoftwareUpdate 首选项修改 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预置规则参考

通过 MS 工作文件夹进行签名代理执行

编辑

通过 MS 工作文件夹进行签名代理执行编辑

识别使用 Windows 工作文件夹在当前工作目录中执行潜在伪装的 control.exe 文件。Windows 工作文件夹的滥用可能表明存在恶意活动。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-windows.*
  • endgame-*
  • logs-system.security*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从以下时间开始搜索索引: now-9m（日期数学格式，另请参阅 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：防御规避
  • 资源：调查指南
  • 数据源：Elastic Endgame

版本: 108

规则作者:

  • Elastic
  • Austin Songer

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过 MS 工作文件夹进行签名代理执行

工作文件夹是为运行 Windows Server 的文件服务器提供的角色服务，它为用户提供了一种一致的方式来从 PC 和设备访问其工作文件。这使用户可以存储工作文件并从任何地方访问它们。调用时，工作文件夹会在访问同步共享之前自动执行任何名为 control.exe 的可移植可执行文件 (PE) 作为参数。

使用工作文件夹执行伪装的 control.exe 可能允许攻击者绕过应用程序控制并提升权限。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件是否普遍存在，是否位于预期位置，以及是否已使用有效的数字签名进行签名。
  • 检查 WorkFolders.exe 二进制文件的位置，以确定是否已将其复制到 control.exe 二进制文件的位置。默认情况下，它位于 System32 目录中。
  • 跟踪与 control.exe 二进制文件相关的活动，以识别主机上的任何持续入侵活动。
  • 查看与工作文件夹一起执行的 control.exe 二进制文件，以确定恶意性，例如其他主机活动或网络流量。
  • 确定 control.exe 是否已同步到同步共享，表明存在潜在的横向移动。
  • 查看 control.exe 最初如何在主机上交付的，例如通过电子邮件发送、从网络下载或从单独的二进制文件写入磁盘。

误报分析

  • 最终用户和管理员合法使用 Windows 工作文件夹进行文件共享和同步，但不会在将可疑的 control.exe 作为参数传递的情况下使用。

响应和补救

  • 根据分类结果启动事件响应流程。
  • 隔离涉及的主机，以防止进一步的妥协后行为。
  • 查看工作文件夹同步共享，以确定是否共享了 control.exe，如果是，则将其删除。
  • 如果在调查期间未发现横向移动，则尽可能使受影响的主机脱机，并删除 control.exe 二进制文件以及调查期间确定的任何其他工件。
  • 查看集成 Windows 信息保护 (WIP)，以通过使用工作文件夹对 PC 上的数据进行加密来强制执行数据保护。
  • 向用户确认这是预期行为还是非预期行为，并重置其密码。

设置编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则（适用于版本 <8.2），则事件不会定义 event.ingested，并且直到版本 8.2 才添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加一个自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start"
    and process.name : "control.exe" and process.parent.name : "WorkFolders.exe"
    and not process.executable : ("?:\\Windows\\System32\\control.exe", "?:\\Windows\\SysWOW64\\control.exe")

框架: MITRE ATT&CKTM

« 启动文件夹上写入或修改的快捷方式文件 SoftwareUpdate 首选项修改 »