18 November 2023 - Blog Post # 858
Living Off The Land Binaries,
Scripts and Libraries
Efterhånden ser man flere og flere sikkerheds repporter hvor det
bliver beskrevet at teknikker son
LOLBAS
har været brugt i forbindelse med kompromittering af Windows
Systemer og netværk.
LOLBAS
er et projekt der startede helt tilbage i 2016 og det har
efterhånden vokset en del. LOLBAS er helt almindelige applikationer
i Windows Systemer kan udnyttes disse til at udføre ting som de
måske ikke var helt beregnet til. Det kan være Download af filer,
Copy af filer, Alternate data streams, Execute, Compile af ondsindet
file mm. Alle bruges de til at undgå at blive opdaget på systemer
eller omgåelse af sikkerheds funktioner, sågar remote hidden logging
af hvad en bruger laver på en dekstop / server med mulig brug af
keyboard. Med andre ord, en hacker behøver ikke at bruge malware,
Trojans mm for at kunne bevæge sig rundt, det hele er allerede
indbygget i Windows. Det er her LOLBAS bliver udnyttet ret vildt
efterhånden. Der findes udover LOLBAS også LOLdrivers, men det er en
anden historie, men nem at overvåge med Sysmon.
Logs til SIEM
Mange er fokuceret på at hente Microsoft Eventlogs ind i eks SIEM
systemer til behandling, og det kan man også komme langt med, MEN
man får typisk ingen fokus på teknikker som LOLBAS til at opdage en
nogen muligt benytter disse teknikker. Det er også her at man skal
uddanne SOC personale så de kender disse teknikker.
Sysmon for the win
Jeg har igennem de sidste 5-6 år skrevet en del Sysmon config filer.
Her har jeg ikke selv tidligerer haft den fokus på LOLBAS som jeg
har haft i den seneste tid. Det har jeg nu lavet helt om på i min
seneste Sysmon Config fil til Sysmon 15.11. Jeg har lavet næsten
komplet detection for alle kendte LOLBAS teknikker. Det har også
betydet at jeg har omskrevet næsten hele min Sysmon config fil. Pt
er der detection muligheder for alle LOLBAS Binaries. Hvilket er ret
stort i min optik for ingen andre har det. Tror ikke mange er klar
hvor mange test timer der ligger i dette arbejde, da alle Detections
skal valideres. Men det er nu gjort og det hele må siges at virke
smukt.
Sysmon config filer
Der findes mange Sysmon config filer man kan hente rundt omkring på
Internettet, men ingen af dem har alle LOLBAS teknikker som her. Det
var faktisk årsagen til jeg gik igang med denne omskrivning og
selvfølgelig også for at kunne opdage hvis nogen udnytter disse
teknikker. Udfordringen er jo at med Sysmon skal man selv kunne
skrive detections til eks Splunk, Elastic mm der giver en de
rigtiget Alerts. Man skal eks også have en stort kendskab til
Windows Systemer, ellers ved man reaelt ikke hvorfor en LOLBAS
teknik kan være kritisk.
Log counts
I forbindelse med denne omskrivning har jeg har stor fokus på hvor
mange logs der skal opsamles og behandles. Alle logs sendt til et
SIEM system koster penge at sende og behandle. Mange af de gratis
Sysmon Config filer man kan finde derude, må siges at have et meget
lille fokus på den del. Min omskrivning af Sysmon har haft meget
fokus på kun at opsamle de aller mest nødvendige ting, dog uden at
gå på kompromis med at ikke være for snæver så nye attacks ikke kan
opdages. Men bare det at skriver koden bedre på log opsamlinger og
udnytte det Sysmon rent faktisk giver mulighed for, er virkelig en
kæmpe besparelse på log opsamlings budgettet. Pt ligger almindelig
best pratice på Windows Event log opsamling ca 10-20 gange højere
end Sysmon log opsamling. Det svinger reaelt lidt derimellem.
Hvilket jeg syntes er et udemærket resultat pt. Selvom der er
tilføjet så mange LOLBAS teknikker som der i denne Config er. LOLBAS
teknikker er jo ikke forventet at støje helt vildt (Helst ikke) Dem
der endelig sender mere end andet er nemme at tune på i et SIEM
system.
Happy hunting...
SNORT
NF IDS Rules
10 Latest Updates
BitCoin Miner
c3pool
BitCoin Miner xmrig
Win32/Znyonm
MQTT Bruteforce
MQTT Clear TXT
MQTT Mustang Panda
Trojan Formbook
Zyxel ZyWALL
PikaBot Trojan
Reverse Shell Without TTY
Download
Suricata
NF IDS Rules
10 Latest Updates
BIMP-BotNet
Remcos-RAT
IOT-Password Attacks
Download