可疑的 PowerShell 脚本中编码的便携式可执行文件

edit

可疑的 PowerShell 脚本中编码的便携式可执行文件edit

通过查找编码的标头，检测 PowerShell 脚本中是否存在便携式可执行文件 (PE)。攻击者将 PE 嵌入到 PowerShell 脚本中，以将其注入内存，避免通过不写入磁盘来防御。

规则类型: 查询

规则索引:

winlogbeat-*
logs-windows.powershell*

严重性: 中等

风险评分: 47

每: 5m 运行

搜索索引时间: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

https://github.com/atc-project/atc-data/blob/master/docs/Logging_Policies/LP_0109_windows_powershell_script_block_log.md

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 执行
战术: 防御规避
资源: 调查指南
数据源: PowerShell 日志

版本: 110

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南edit

分类和分析

调查可疑的 PowerShell 脚本中编码的便携式可执行文件

PowerShell 是系统管理员用于自动化、报表例程和其他任务的主要工具之一。这使得它可以在各种环境中使用，并为攻击者执行代码创造了有吸引力的途径。

攻击者可以利用 PowerShell 内存中的功能将可执行文件注入内存，而无需接触磁盘，从而绕过基于文件的安全保护。这些可执行文件通常是 Base64 编码的。

注意: 此调查指南使用的是 Elastic Stack 版本 8.5.0 中引入的 Osquery Markdown 插件。旧版本的 Elastic Stack 将在此指南中显示未渲染的 Markdown。

可能的调查步骤

检查触发检测的脚本内容；查找可疑的 DLL 导入、收集或泄露功能、可疑函数、编码或压缩数据以及其他潜在的恶意特征。
调查脚本执行链（父进程树）以查找未知进程。检查其可执行文件以了解流行程度、它们是否位于预期位置以及它们是否使用有效的数字签名进行签名。
调查过去 48 小时内与用户/主机相关的其他警报。
评估用户是否需要使用 PowerShell 来完成任务。
检查主机以查找表明可疑活动的派生工件
使用私有的沙盒分析系统分析脚本。
观察并收集有关沙盒和警报主题主机中以下活动的信息
尝试联系外部域和地址。
使用 Elastic Defend 网络事件通过按进程的 process.entity_id 筛选，确定主题进程联系的域和地址。
检查 DNS 缓存以查找可疑或异常条目。
!{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
使用 Elastic Defend 注册表事件检查进程树中相关进程访问、修改或创建的注册表项。
检查主机服务以查找可疑或异常条目。
!{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
!{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
!{osquery{"label":"Osquery - 检索具有 VirusTotal 链接的未签名的可执行文件","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和信誉。
调查可能被入侵的帐户。分析师可以通过搜索注册表修改后的目标主机的登录事件（例如，4624）来做到这一点。

误报分析

此活动不太可能合法发生。如果需要，可以将良性真阳性 (B-TP) 添加为例外。

相关规则

可疑的 .NET 反射通过 PowerShell - e26f042e-c590-4e82-8e05-41e81bd822ad
PowerShell 可疑有效载荷编码和压缩 - 81fe9dc6-a2d7-4192-a2d8-eed98afc766a
PowerShell PSReflect 脚本 - 56f2e9b5-4803-4e44-a0a4-a52dc79d57fe

响应和补救

根据分类的结果启动事件响应过程。
隔离相关主机以防止进一步的入侵后行为。
如果分类确定了恶意软件，请搜索环境以查找其他被入侵的主机。
实施临时网络规则、程序和分段以隔离恶意软件。
停止可疑进程。
立即阻止已识别的入侵指标 (IOC)。
检查受影响的系统以查找攻击者可能用来重新感染系统的其他恶意软件后门，例如反向 shell、反向代理或 dropper。
删除并阻止分类期间识别的恶意工件。
重新映像主机操作系统或将受损文件还原为干净版本。
使用 GPO、AppLocker、Intune 或类似软件限制 IT 和工程业务部门以外的 PowerShell 使用。
运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
确定攻击者利用的初始载体，并采取措施防止通过相同载体重新感染。
使用事件响应数据，更新日志记录和审核策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置edit

设置

必须启用PowerShell 脚本块日志记录日志记录策略。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Administrative Templates >
Windows PowerShell >
Turn on PowerShell Script Block Logging (Enable)

通过注册表实施日志记录策略的步骤

reg add "hklm\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" /v EnableScriptBlockLogging /t REG_DWORD /d 1

规则查询edit

event.category:process and host.os.type:windows and
  powershell.file.script_block_text : (
    TVqQAAMAAAAEAAAA
  ) and not user.id : "S-1-5-18"

框架: MITRE ATT&CK^TM

战术
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 命令和脚本解释器
- ID: T1059
- 参考 URL: https://attack.mitre.org/techniques/T1059/
子技术
- 名称: PowerShell
- ID: T1059.001
- 参考 URL: https://attack.mitre.org/techniques/T1059/001/
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/

« 可疑的密码文件事件操作可疑的 PowerShell 引擎 ImageLoad »