« 通过 ICMLuaUtil 提升的 COM 接口绕过 UAC 从以前未知的可执行文件提升 UID »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

通过 Windows 防火墙管理单元劫持绕过 UAC

编辑

通过 Windows 防火墙管理单元劫持绕过 UAC编辑

识别通过劫持 Microsoft 管理控制台 (MMC) Windows 防火墙管理单元来绕过用户帐户控制 (UAC) 的尝试。攻击者绕过 UAC 以隐秘地执行具有提升权限的代码。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.sysmon_operational-*
  • endgame-*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

从以下时间开始搜索索引: now-9m（日期数学格式，另请参阅 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：权限提升
  • 策略：防御规避
  • 资源：调查指南
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend
  • 数据源：Sysmon

版本: 112

规则作者:

  • Elastic

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查通过 Windows 防火墙管理单元劫持绕过 UAC

Windows 用户帐户控制 (UAC) 允许程序提升其权限（跟踪为从低到高的完整性级别）以在管理员级别权限下执行任务，可能通过提示用户确认。UAC 可以在高完整性强制下拒绝操作，或允许用户在属于本地管理员组并输入管理员密码时提示时执行操作。

有关 UAC 及其工作原理的更多信息，请查看 Microsoft 官方文档页面。

此规则通过劫持 Microsoft 管理控制台 (MMC) Windows 防火墙管理单元来识别绕过用户帐户控制 (UAC) 的尝试。攻击者绕过 UAC 以隐秘地执行具有提升权限的代码。

注意：此调查指南使用 Elastic Stack 版本 8.5.0 中引入的 Osquery Markdown 插件。较早的 Elastic Stack 版本将在此指南中显示未呈现的 Markdown。

可能的调查步骤

  • 调查未知进程的进程执行链（父进程树）。检查其可执行文件是否普遍存在，它们是否位于预期位置，以及它们是否已使用有效的数字签名进行签名。
  • 调查过去 48 小时内与用户/主机关联的其他警报。
  • 在警报时间范围内检查主机是否存在可疑或异常行为。
  • 调查受影响进程的任何异常行为，例如网络连接、注册表或文件修改以及任何衍生的子进程。
  • 检查主机是否存在表明可疑活动的派生工件
  • 使用私有沙盒分析系统分析任何可疑的衍生进程。
  • 观察并收集有关沙盒和警报主题主机中以下活动的的信息
  • 尝试联系外部域和地址。
  • 使用 Elastic Defend 网络事件通过按进程的 process.entity_id 过滤来确定受影响进程联系的域和地址。
  • 检查 DNS 缓存是否存在可疑或异常条目。
  • !{osquery{"label":"Osquery - 检索 DNS 缓存","query":"SELECT * FROM dns_cache"}}
  • 使用 Elastic Defend 注册表事件检查进程树中相关进程访问、修改或创建的注册表项。
  • 检查主机服务是否存在可疑或异常条目。
  • !{osquery{"label":"Osquery - 检索所有服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services"}}
  • !{osquery{"label":"Osquery - 检索在用户帐户上运行的服务","query":"SELECT description, display_name, name, path, pid, service_type, start_type, status, user_account FROM services WHERE\nNOT (user_account LIKE %LocalSystem OR user_account LIKE %LocalService OR user_account LIKE %NetworkService OR\nuser_account == null)\n"}}
  • !{osquery{"label":"Osquery - 检索带有 Virustotal 链接的未签名可执行服务","query":"SELECT concat(https://www.virustotal.com/gui/file/, sha1) AS VtLink, name, description, start_type, status, pid,\nservices.path FROM services JOIN authenticode ON services.path = authenticode.path OR services.module_path =\nauthenticode.path JOIN hash ON services.path = hash.path WHERE authenticode.result != trusted\n"}}
  • 使用 PowerShell Get-FileHash cmdlet 检索文件的 SHA-256 哈希值，并在 VirusTotal、Hybrid-Analysis、CISCO Talos、Any.run 等资源中搜索哈希的存在和声誉。
  • 调查潜在受损帐户。分析师可以通过在注册表修改后搜索目标主机上的登录事件（例如 4624）来执行此操作。

误报分析

  • 此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

  • 根据分类结果启动事件响应流程。
  • 隔离涉及的主机以防止进一步的受损后行为。
  • 如果分类识别出恶意软件，请在环境中搜索其他受损主机。
  • 实施临时网络规则、程序和分段以遏制恶意软件。
  • 停止可疑进程。
  • 立即阻止已识别的受损指标 (IoC)。
  • 检查受影响的系统是否存在其他恶意软件后门，例如攻击者可能用来重新感染系统的反向 shell、反向代理或 dropper。
  • 删除和阻止分类期间识别的恶意工件。
  • 运行完整的反恶意软件扫描。这可能会揭示系统中留下的其他工件、持久性机制和恶意软件组件。
  • 调查攻击者受损或使用的系统上的凭据泄露，以确保识别出所有受损帐户。重置这些帐户和其他可能受损凭据（例如电子邮件、业务系统和网络服务）的密码。
  • 确定攻击者滥用的初始媒介，并采取措施防止通过同一媒介重新感染。
  • 使用事件响应数据，更新日志记录和审计策略以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置编辑

设置

如果在版本 <8.2 的非弹性代理索引（如 beats）上启用 EQL 规则，则事件不会定义 event.ingested，并且直到版本 8.2 才添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where host.os.type == "windows" and event.type == "start" and
 process.parent.name == "mmc.exe" and
 /* process.Ext.token.integrity_level_name == "high" can be added in future for tuning */
 /* args of the Windows Firewall SnapIn */
  process.parent.args == "WF.msc" and process.name != "WerFault.exe"

框架: MITRE ATT&CKTM

« 通过 ICMLuaUtil 提升的 COM 接口绕过 UAC 从以前未知的可执行文件提升 UID »