זיהוי הרצה לא חוקית של CMD
cmd.exe) שהופעל עם פקודת בדיקת זהות המשתמש, שה-Parent שלו הוא תהליך דיווח השגיאות של Windows. תהליך שתפקידו דיווח שגיאות לא אמור להריץ שורת פקודה בכלל - זה יחס הורה-ילד שלא תואם את התפקיד התקין של ההורה.פרקי ההרצאה: זיהוי הרצה לא חוקית של CMD
תמלול ההרצאה: זיהוי הרצה לא חוקית של CMD
הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי הרצה לא חוקית של CMD» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם. בהרצאה הזו אנחנו נענה על שאלה אחרונה שבה אנחנו מזהים יחסים מוזרים, Strange Parent-Child Relationship. יחסים מוזרים חשודים בין תהליך האב לתהליך הילד.
כאילו תוכנה שהריצה תוכנה אחרת. Parent זה התוכנה הראשית ו-Child זה הילד שלה, תוכנה שהיא מריצה. זאת אומרת שאנחנו נזהה איזשהו אבא חשוד שלא אמור להריץ תוכנות ופתאום הוא מריץ.
למה האבא הזה חשוד? כי כנראה פרצו אליו. אז בואו ניכנס לתיקייה הזאת במכונת תרגול של Hack The Box. התחברתי אליה ב-Remote Desktop לאחר VPN ויש לנו פה Log של שלוש מגה ואני עושה עליו דבל קליק.
נפתור את השאלה הזאת דרך ממשק גרפי, כי כל הזמן עשינו הכול דרך שורת פקודה, דרך PowerShell. עכשיו אנחנו נראה איך אפשר לפתור גם שאלות שאין בהן הרבה אירועים דרך ממשק גרפי של Event Viewer ואנחנו מסננים קודם כל את היומן הזה שפתחנו.
עושים לו Filter current log ומחפשים אירוע מספר אחד של יצירת תהליך. הרי האבא יוצר תהליך של הילד, אז אני מסנן את כל האיוונטים של Sysmon, של כלי, של Sysmon לאיוונט מספר אחד, אירוע מספר אחד ויש לי רק ארבעה אירועים כאלו ביומן הזה.
אז זה די פשוט. האירוע הראשון אני רואה שתוכנה WerFaults זאת התוכנה שמובנית בווינדוס שאחראית למצבים מיוחדים, מצבי חירום בווינדוס. בואו נקרא עליה קצת.
אני כותב בגוגל WerFaults נקודה exe ויש לנו פה ישר בגוגל תשובה שזה תהליך Process בווינדוס עשר ואחת עשרה שמדווח שגיאות על הווינדוס והדוחות האלו עוזרים למתכנתים לסדר את הבאגים.
כאילו כלי דיווח כזה. הנה כתוב פה באתר של מייקרוסופט שזה חלק מ-Windows Error Reporting Service, חלק מתהליך הדיווח על שגיאות קריטיות בווינדוס. אז בסדר, אז התהליך הזה מופעל ומופעל על ידי הפקודה הזאת ואין פה שום דבר מיוחד.
התוכנה מופעלת וזהו. מי שהפעיל אותה Parent שהפעיל אותה זה Explorer נקודה exe. כל זה נשמע סביר שה-Explorer זה זה שעושה את כל המעטפת הגרפית, הפעיל את התוכנה של דיווח שגיאות.
אז האירוע הזה לא חשוד לי. בואו נעבור לאירוע שני. האירוע השני אני רואה שזה cmd exe. או, מישהו פה מנסה להריץ לנו פקודות. פתח שורת פקודה cmd.
בואו נראה עם איזו פקודה הוא עשה את זה. הוא עשה את זה עם פקודה cmd exe סלאש