Основи криміналістичної методики (Частина 1)

• https://github.com/topics/file-integrity-monitoring

• https://www.solarwinds.com/security-event-manager/use-cases/file-integrity-monitoring-software

Антикриміналістичні методи

Мітки часу

Зловмисник може бути зацікавлений у зміні часових позначок файлів , щоб уникнути виявлення. Мітки часу можна знайти всередині MFT в атрибутах $STANDARD_INFORMATION__ і __ $FILE_NAME.

Обидва атрибути мають 4 позначки часу: модифікація , доступ , створення та модифікація реєстру MFT (MACE або MACB).

Провідник Windows та інші інструменти показують інформацію з $STANDARD_INFORMATION.

TimeStomp – антикриміналістичний інструмент

Цей інструмент змінює інформацію про мітку часу всередині $STANDARD_INFORMATION , але не інформацію всередині $FILE_NAME. Таким чином, можна виявити підозрілу активність .

Usnjrnl

Журнал USN (журнал порядкових номерів оновлення) — це функція NTFS (файлової системи Windows NT), яка відстежує зміни томів. Інструмент UsnJrnl2Csv дозволяє перевірити ці зміни.

Попереднє зображення – це результат , показаний інструментом , де можна помітити, що до файлу внесено деякі зміни .

$LogFile

Усі зміни метаданих у файловій системі реєструються в процесі, відомому як ведення журналу з попереднім записом . Зареєстровані метадані зберігаються у файлі з іменем **$LogFile**, розташованому в кореневому каталозі файлової системи NTFS. Такі інструменти, як LogFileParser , можна використовувати для аналізу цього файлу та визначення змін.

Знову ж таки, у вихідних даних інструменту можна побачити, що внесено деякі зміни . Використовуючи той самий інструмент, можна визначити, до якого часу були змінені позначки часу :

1. Відкрийте програму «Служби», ввівши «служби» у текстовому полі пошуку після натискання кнопки запуску Windows.

2. У списку знайдіть «Тіньове копіювання тома», виберіть його, а потім відкрийте «Властивості», клацнувши правою кнопкою миші.

3. У спадному меню «Тип запуску» виберіть «Вимкнено», а потім підтвердьте зміни, натиснувши «Застосувати» та «ОК».

Також можна змінити конфігурацію файлів, які будуть скопійовані в тіньову копію реєстру:

HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToSnapshot

Перезаписати видалені файли

fsutil usn deletejournal /d c:

wrong fs type, bad option, bad superblock on /dev/loop0, missing codepage or helper program, or other error.у цьому випадку монтування не вдалося через те, що зміщення файлової системи відрізняється від зміщення образу диска. Вам потрібно знайти розмір сектора та початковий сектор:

fdisk -l disk.img 
Disk disk.img: 102 MiB, 106954648 bytes, 208896 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x00495395

Device        Boot Start    End Sectors  Size Id Type
disk.img1       2048 208895  206848  101M  1 FAT12

Зауважте, що розмір сектора 512 , а початок 2048 . Потім змонтуйте зображення так:

mount disk.img /mnt -o ro,offset=$((2048*512))

• Необроблений (кожен сегмент об’єднаний разом)

• Доповнений (те саме, що і raw, але з нулями в правих бітах)

• Lime (рекомендований формат із метаданими

LiME також можна використовувати для надсилання дампа через мережу замість того, щоб зберігати його в системі, використовуючи щось на кшталт:path=tcp:4444

Зображення диска

Перш за все, вам потрібно буде вимкнути систему . Це не завжди доступний варіант, оскільки інколи система буде робочим сервером, який компанія не може дозволити собі закрити. Існує 2 способи вимкнення системи: звичайне вимкнення та вимкнення за принципом «підключи» . Перший дозволить завершити процеси як зазвичай і синхронізувати файлову систему , але він також дозволить можливому зловмисному програмному забезпеченню знищити докази . Підхід «витягнути вилку» може спричинити певну втрату інформації (невелика частина інформації буде втрачена, оскільки ми вже зробили образ пам’яті), і зловмисне програмне забезпечення не матиме жодної можливості з цим зробити. Тому, якщо ви підозрюєте , що може бути зловмисне програмне забезпечення , просто виконайте команду в системі та витягніть вилку.sync

Важливо зазначити, що перед підключенням комп’ютера до чогось, пов’язаного з корпусом , ви повинні переконатися, що він буде змонтований як лише для читання , щоб уникнути зміни будь-якої інформації.

#Create a raw copy of the disk
dd if=<subject device> of=<image file> bs=512

#Raw copy with hashes along the way (more secure as it checks hashes while it's copying the data)
dcfldd if=<subject device> of=<image file> bs=512 hash=<algorithm> hashwindow=<chunk size> hashlog=<hash file>
dcfldd if=/dev/sdc of=/media/usb/pc.image hash=sha256 hashwindow=1M hashlog=/media/usb/pc.hashes

Попередній аналіз образу диска

Створення образу диска без даних.

#Find out if it's a disk image using "file" command
file disk.img 
disk.img: Linux rev 1.0 ext4 filesystem data, UUID=59e7a736-9c90-4fab-ae35-1d6a28e5de27 (extents) (64bit) (large files) (huge files)

#Check which type of disk image it's
img_stat -t evidence.img 
raw
#You can list supported types with
img_stat -i list
Supported image format types:
        raw (Single or split raw file (dd))
        aff (Advanced Forensic Format)
        afd (AFF Multiple File)
        afm (AFF with external metadata)
        afflib (All AFFLIB image formats (including beta ones))
        ewf (Expert Witness Format (EnCase))

#Data of the image
fsstat -i raw -f ext4 disk.img 
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: Ext4
Volume Name: 
Volume ID: 162850f203fd75afab4f1e4736a7e776

Last Written at: 2020-02-06 06:22:48 (UTC)
Last Checked at: 2020-02-06 06:15:09 (UTC)

Last Mounted at: 2020-02-06 06:15:18 (UTC)
Unmounted properly
Last mounted on: /mnt/disk0

Source OS: Linux
[...]

#ls inside the image
fls -i raw -f ext4 disk.img
d/d 11: lost+found
d/d 12: Documents
d/d 8193:       folder1
d/d 8194:       folder2
V/V 65537:      $OrphanFiles

#ls inside folder
fls -i raw -f ext4 disk.img 12
r/r 16: secret.txt

#cat file inside image
icat -i raw -f ext4 disk.img 16
ThisisTheMasterSecret

Пошук відомих зловмисних програм

Linux пропонує інструменти для забезпечення цілісності системних компонентів, що має вирішальне значення для виявлення потенційно проблемних файлів.

# Debian package and log details
cat /var/lib/dpkg/status | grep -E "Package:|Status:"
cat /var/log/dpkg.log | grep installed
# RedHat RPM database query
rpm -qa --root=/mntpath/var/lib/rpm
# Listing directories for manual installations
ls /usr/sbin /usr/bin /bin /sbin
# Identifying non-package executables (Debian)
find /sbin/ -exec dpkg -S {} \; | grep "no path found"
# Identifying non-package executables (RedHat)
find /sbin/ –exec rpm -qf {} \; | grep "is not"
# Find exacuable files
find / -type f -executable | grep <something>

Відновлення видалених запущених двійкових файлів

Уявіть собі процес, який було виконано з /tmp/exec і видалено. Його можна витягти

cd /proc/3746/ #PID with the exec file deleted
head -1 maps #Get address of the file. It was 08048000-08049000
dd if=mem bs=1 skip=08048000 count=1000 of=/tmp/exec2 #Recorver it

Перевірте місця автозапуску. Заплановані завдання

cat /var/spool/cron/crontabs/*  \
/var/spool/cron/atjobs \
/var/spool/anacron \
/etc/cron* \
/etc/at* \
/etc/anacrontab \
/etc/incron.d/* \
/var/spool/incron/* \

#MacOS
ls -l /usr/lib/cron/tabs/ /Library/LaunchAgents/ /Library/LaunchDaemons/ ~/Library/LaunchAgents/

Послуги

Шляхи, за якими зловмисне програмне забезпечення може бути встановлено як послугу:

pip3 install usbrip
usbrip ids download #Download USB ID database

usbrip events history #Get USB history of your curent linux machine
usbrip events history --pid 0002 --vid 0e0f --user kali #Search by pid OR vid OR user
#Search for vid and/or pid
usbrip ids download #Downlaod database
usbrip ids search --pid 0002 --vid 0e0f #Search for pid AND vid

# List recent files in a directory: 
ls -laR --sort=time /bin```

# Sort files in a directory by inode: 
ls -lai /bin | sort -n```

git diff --no-index --diff-filter=A path/to/old_version/ path/to/new_version/

git diff --no-index --diff-filter=M path/to/old_version/ path/to/new_version/ | grep -E "^\+" | grep -v "Installed-Time"

git diff --no-index --diff-filter=D path/to/old_version/ path/to/new_version/

• перевірте помилку OutputDebugString

• запускати як службу

• процес створення

Отримайте його в сховищі Github .

МОК

IOC означає індикатор компромісу. IOC – це набір умов, які визначають потенційно небажане програмне забезпечення або підтверджене зловмисне програмне забезпечення . Blue Teams використовує таке визначення для пошуку такого роду шкідливих файлів у своїх системах і мережах . Поділитися цими визначеннями дуже корисно, оскільки коли зловмисне програмне забезпечення ідентифікується на комп’ютері та створюється IOC для цього зловмисного програмного забезпечення, інші сині команди можуть використовувати його, щоб швидше ідентифікувати зловмисне програмне забезпечення.

Інструментом для створення або зміни IOC є IOC Editor . Ви можете використовувати такі інструменти, як Redline, для пошуку визначених IOC у пристрої .

Локі

Loki — це сканер простих індикаторів компромісу. Виявлення базується на чотирьох методах виявлення:

1. File Name IOC
   Regex match on full file path/name

2. Yara Rule Check
   Yara signature matches on file data and process memory

3. Hash Check
   Compares known malicious hashes (MD5, SHA1, SHA256) with scanned files
   
4. C2 Back Connect Check
   Compares process connection endpoints with C2 IOCs (new since version v.10)

Виявлення шкідливих програм Linux

Linux Malware Detect (LMD) — це сканер зловмисного програмного забезпечення для Linux, випущений за ліцензією GNU GPLv2, розроблений для виявлення загроз у спільно використовуваних середовищах. Він використовує дані про загрози з мережевих систем виявлення вторгнень, щоб витягти зловмисне програмне забезпечення, яке активно використовується в атаках, і генерує сигнатури для виявлення. Крім того, дані про загрози також отримуються з повідомлень користувачів за допомогою функції перевірки LMD та ресурсів спільноти зловмисних програм.

Такі інструменти, як rkhunter , можна використовувати для перевірки файлової системи на наявність можливих руткітів і шкідливих програм.

sudo ./rkhunter --check -r / -l /tmp/rkhunter.log [--report-warnings-only] [--skip-keypress]

• FLOSS — це інструмент, який намагатиметься знайти обфусковані рядки у виконуваних файлах за допомогою різних методів.

• PEpper перевіряє деякі основні речі всередині виконуваного файлу (двійкові дані, ентропія, URL-адреси та IP-адреси, деякі правила yara).

• PEstudio — це інструмент, який дозволяє отримувати інформацію про виконувані файли Windows, як-от імпорт, експорт, заголовки, а також перевіряти загальну кількість вірусів і знаходити потенційні методи атаки.

• DiE — це інструмент для визначення того, чи файл зашифровано , а також пошуку пакувальників .

• NeoPI — це сценарій Python, який використовує різноманітні статистичні методи для виявлення обфускованого та зашифрованого вмісту в текстових файлах/файлах сценаріїв. Передбачувана мета NeoPI — допомогти у виявленні прихованого веб-коду оболонки .

• PHP-malware-finder робить усе можливе, щоб виявити заплутаний / хитрий код , а також файли, які використовуютьфункції PHP , які часто використовуються у шкідливих програмах /веб-оболонках.

Бінарні підписи Apple

Перевіряючи зразок зловмисного програмного забезпечення, ви завжди повинні перевіряти підпис двійкового файлу, оскільки розробник , який його підписав, може бути вже пов’язаний із шкідливим програмним забезпеченням.

#Get signer
codesign -vv -d /bin/ls 2>&1 | grep -E "Authority|TeamIdentifier"

#Check if the app’s contents have been modified
codesign --verify --verbose /Applications/Safari.app

#Check if the signature is valid
spctl --assess --verbose /Applications/Safari.app

Методи виявлення

Якщо ви знаєте, що деяка папка, що містить файли веб-сервера, востаннє оновлювалася певної дати . Перевірте дату , коли всі файли на веб-сервері були створені та змінені , і якщо якась дата є підозрілою , перевірте цей файл.

Якщо файли папки не слід було змінювати , ви можете обчислити хеш вихідних файлів папки та порівняти їх із поточними . Будь-яка зміна буде підозрілою .

Коли інформація зберігається в журналах, ви можете перевірити статистичні дані, наприклад, скільки разів зверталися до кожного файлу веб-сервера, оскільки веб-оболонка може бути однією з найбільших .

Продовження у другій частині