זיהוי DUMP של LSASS
ForEach-Object, ומסננים לפי Event ID 10 וגם לפי Target Image שהוא נתיב הקובץ המדויק של lsass.exe - כך מצטמצמת הרשימה לכמה עשרות אירועים בלבד.Select-Object.פרקי ההרצאה: זיהוי DUMP של LSASS
תמלול ההרצאה: זיהוי DUMP של LSASS
הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי DUMP של LSASS» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם. בהרצאה הזו אנחנו נמצא איזה תהליך גנב לנו את כל הסיסמאות מתוך ה-LSASS, עשה LSASS Dump. LSASS זה תהליך שאחראי בתוך הווינדוס על כל מערכת האבטחה Local Security Authority ובפנים יש לו גם Cache לסיסמאות למקרה שנרצה לפנות לאיזשהו שיתוף ברשת שלא נצטרך להקיש שם וסיסמה ידנית הוא זוכר את השם והסיסמה שלנו ומציג את זה לשרתים מרוחקים במקומנו
ויש מישהו רע שגנב מתוך ה-LSASS מתוך הזיכרון שלו עשה Dump לכל הסיסמאות. עכשיו אנחנו צריכים לגלות מיהו אותו Process Name, מי זאת אותה התוכנה כאשר כל הלוגים נמצאים בתיקייה הזאת.
קודם כל איך אנחנו בכלל ניגשים לזה? כפי שכבר ראינו כל הלוגים שלנו זה של Sysmon. תכף נבדוק את זה שוב וב-Sysmon יש לנו אירוע Event מספר עשר של Process Access כשתוכנה אחת מנסה לגשת לזיכרון של תוכנה אחרת אפילו הם כותבים פה כמו לגשת לזיכרון של LSASS.
אז אנחנו נחפש אירוע מספר עשר של Sysmon ונבדוק מי ניגש לזיכרון של מי ונראה תוכנות חשודות. אז בואו נתחיל קודם כל עדכנתי PowerShell שבע מאתר של מיקרוסופט ואני מריץ שילטה הראשונה שעוברת על כל הקבצים שיש בתיקיית C Logs Dump ועבור כל קובץ עבור כל לוג שיש שמה ויש שם שתיים עד כמה שאני זוכר היא שולפת עבור כל אחד את כל האירועים.
שימו לב זה הנתיב הנוכחי של קובץ נוכחי. אמרנו שיש שני קבצים זה קובץ נוכחי רק אירוע מספר עשר זה האירוע היחיד שמעניין אותי ואני מגלה כשאני מריץ את התוכנה כמה אירועים מספר עשר קיימים ושימו לב יש הרבה אירועים עם המספר הזה.
בואו נסתכל באחד מהם וננסה ככה למקד את הפילטר שלנו לאירוע שקשור ל-LSASS. אז אני עושה Format List שיציג לי הכל כרשימה עם כל התכונות לא כטבלה לרוחב כרשימה, כי ברשימה לאורך המסך יש יותר מקום ושיציג לי את כללל השדות שיש.
יופי אני עוצר אותו עם Control C. אני רואה פה את השדות הכלליים בצד שמאל, אבל מעניין אותי פה השדות הספציפיים לאירוע מספר עשר ושימו לב מה אני מגלה פה שיש Target Image.
באיזה תוכנה התערבו. הרי אנחנו רק ב-Event ID עשר רק באירוע של התערבות וזה השדות שיש לו ובאיזה תוכנה התערבו. במקרה הזה זה איזושהי תוכנה שלא מעניינת אותי.
אני במקום הדבר הזה כותב את הנתיב ל-LSASS. אתם יכולים לבדוק בגוגל או בווינדוס שלכם. LSASS תמיד נמצא בתיקייה הזאת. אז בואו נראה כמה אירועים מספר עשר של התערבות יש בקובץ LSASS עם כל הסיסמאות ולא סתם עם כל תוכנה אחרת.
אז אנחנו מריצים פקודה ששולפת את כל הלוגים עבור כל לוג היא שולפת אירוע מספר עשר כאשר Target Image ה-LSASS שלנו. שימו לב הדבר הזה אפשרי רק בגלל שהתקנתי PowerShell שבע ב-PowerShell שמובנה בווינדוס זה לא יעבוד כי מה שמובנה זה מגרסה חמש.
קודם כל אנחנו רואים שהצטמצמה לנו הרשימה ויש אירוע מספר עשר עם LSASS רק כמה בודדים, לא יודע איזה עשרים בודדים. עכשיו יש לנו שתי אופציות או שאנחנו עוברים אחד אחד ידנית ומסתכלים מי זה עשה את זה.
איך אני עושה את זה אחד אחד אני אומר לו תראה לי את הרשימה הזאת לא כטבלה אלא כ-Format List, כרשימה עם כל השדות שיש לך ואני יכול לעבור אחד אחד ולראות כאן ברשימה מי התערב לנו.
אז בואו נראה. זו רשימה קצרה יחסית אפשר לעבור ידנית. אני רואה ש-LSASS נקודה exe אתם רואים איזה תוכנה התערבה svchost exe svchost exe זו תוכנה של ווינדוס היא לא חשודה לי כרגע החשד קטן יותר מאשר איזושהי תוכנה אחרת שהיא לא מובנית בווינדוס, אז היא התערבה ל-LSASS בזיכרון.
בסדר, מי עוד אנחנו עולים פה ברשימה רואים של-LSASS עוד פעם ה-svchost התערב. עכשיו אפשר לעבור אחד אחד ואפשר להגיד לו תראה לי טבלה רק עם העמודה הזאת Source