זיהוי הזרקת Powershell
חלק 2

תמלול ההרצאה: זיהוי הזרקת Powershell חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי הזרקת Powershell חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם. בסרטון זה אנחנו נגלה מי הזריק את הקוד הזדוני לתוך המחשבון והמחשבון הריץ את הפקודות פאוור של הרעות. השאלה היא מי עשה את זה?

2. 00:14

   איזה תוכנה ניצלה את המחשבון? זה שזה מחשבון גילינו מהלוגים בסרטון קודם. עכשיו השאלה איך לזהות מי הזריק. קודם כל אני אזכיר לכם שגילינו שהייתה הזרקה על ידי אירוע של טעינת DLL של פאוור של בלי פאוור של.

3. 00:33

   את ה-DLL של פאוור של הטעין מחשבון וכנראה שהוא הריץ איזשהם פקודות. עכשיו אנחנו רוצים לדעת מי הזריק לתוך המחשבון הזה ל-calculator.exe הזה את הקוד הזדוני.

4. 00:45

   אז קודם כל אירוע של הזרקה זה אירוע מספר שמונה ביומן האירועים של Sysmon אנחנו רואים שאנחנו מתעסקים פה ב-Sysmon ואפשר ללכת לאתר של מיקרוסופט ולראות injection של thread זה אירוע מספר שמונה.

5. 01:02

   בואו אני אראה לכם את זה. הולכים Sysmon events מחפשים פה באתר של מיקרוסופט injection בבקשה. ואנחנו רואים inject קוד עם control f חיפשתי זה event ID שמונה.

6. 01:14

   יותר מזה, אפשר לעשות אותו גם מרחוק. מה זה עושה? זה יוצר thread חדש, תהליך חדש, קוד חדש שרץ בתוך process קיים. זאת אומרת בתוך ה-process בתוך התוכנה שעובדת של calculator היא הפעילו thread נפרד בפנים, כאילו קוד שרץ במקביל בתוך התוכנה.

7. 01:32

   כי היום התוכנות עושות הרבה דברים במקביל. כל קטע קוד שעושה משהו במקביל לקטע קוד אחר נקרא thread ורוב התוכנות היום עובדות עם multi threading. לדוגמא thread אחד אחראי על גרפיקה thread אחד אחראי על להביא משהו מהרשת וככה המסך בעצם לא נתקע לנו תוך כדי שאנחנו ממתינים לשרת.

8. 01:52

   בקיצור ליצור thread חדש ב-process קיים זה event ID שמונה ואנחנו נחפש אירוע מספר שמונה ביומן האירועים של Sysmon. אז בואו נתחיל. יש לנו שתי דרכים איך לעשות את זה.

9. 02:07

   הדרך הראשונה זה לשלוף את הכל ולהעביר את זה לסינון של where object. זאת גישה שתמיד עובדת, אבל היא יותר איטית כי היא דורשת שליפה של כל האירועים שהיו. אבל אני אוהב את ה-where object כי הוא תמיד עובד לי ואני אומר לו עבור כל שורה שימו לב הדבר הזה זה עבור כל שורה.

10. 02:26

    קח נקודה, קח תכונה שנקראת ID ותבדוק האם היא שווה לשמונה. זאת אומרת תראה לי על המסך רק שורות