rivitna Jul 17 2021 at 17:41

Анализ вредоносных программ. Интересные трюки

6 min

15K

Information Security*Reverse engineering*

From sandbox

Technotext 2021

+29

Comments 16

simplix Jul 17 2021 at 22:43

Друзья и коллеги были правы — статья отличная, пишите ещё!

rivitna Jul 18 2021 at 01:23

Спасибо большое за позитив и поддержку! ))

avhelp Jul 30 2021 at 11:17

simplix, утилита СмартФикс будет обнаруживать подобные закрепления?

simplix Jul 30 2021 at 11:20

Последняя версия обнаруживает и исправляет.

aharata Jul 18 2021 at 01:22

Так, как быстро проверить наличие этой вредины для нубов?

rivitna Jul 18 2021 at 01:45

Это резонный вопрос! Насколько быстро и оперативно, не могу сказать. Вот вредина, как Вы говорите, работает и никак не проявляет себя. Либо должны задетектить внешние проявления, либо Вы должны знать конкретно, где и что искать, а это не просто. Когда малварь закрепилась и закрепилась нетривиально, без повода ее найти, увы, достаточно не просто.

Сейчас современный подход строится больше на предотвращении угроз. На основе известных угроз искать подобные, предотвращать и обнаруживать их. А более продвинутый вариант, не отставать от атакующих и хантить новые угрозы, то есть стараться предвидеть их и соответственно строить свою защиту проактивно.

То есть зная про такую угрозу, если у Вас есть EDR, то, конечно, будете мониторить события, связанные с вызовами mofcomp.exe, строить какие-то правила для этого

Либо радикальный вариант, если это возможно, запретить WMI совсем.

qw1 Jul 18 2021 at 11:25

Может есть какая-то команда, чтобы вывести список WMI-событий, выполняющихся по расписанию? (чтобы сверить со списком на чистой системе)

gdt Jul 18 2021 at 13:05

Я не автор, но подозреваю, что информация вот отсюда - https://docs.microsoft.com/en-us/windows/win32/wmisdk/tracing-wmi-activity - может помочь.

rivitna Jul 18 2021 at 14:00

Как вариант, можно использовать утилиту Autoruns от Sysinternals

Detecting & Removing an Attacker’s WMI Persistence

qw1 Jul 18 2021 at 14:01

А стандартная системная команда
wmic job list
показывает такие задачи?

simplix Jul 18 2021 at 16:10

Проверил — Autoruns его не видит и wmic job list тоже, хотя в 23:00 скрипт срабатывает как и положено. Конкретно процесс scrcons.exe открывает указанные в скрипте сайты.