חטיפת DLL עם Sysmon

תמלול ההרצאה: חטיפת DLL עם Sysmon

הטקסט המלא של הדקות הראשונות בהרצאה «חטיפת DLL עם Sysmon» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בסרטון זה נדבר על dll hijacking חטיפה של dll ונחטוף אותו מתוכנה לגיטימית בווינדוס כמו מחשבון כמו כלקולטור כן כן כלקולטור של מייקרוסופט מחשבון שמובנה בווינדוס טוען dll טוען קבצי קוד נוספים תוך כדי הפעולה שלו בשביל לא לשכתב את אותו הקוד פעמיים הם משתמשים בקוד חיצוני ששמור בקובץ dll זה נקרא dynamic library ספרייה

2. 00:31

   דינמית שטוענים אותה עם העלייה של קובץ אקזה המקורי ובכך חוסכים כתיבת קוד חוזרת כל פעם אותו קוד שוב שוב ושוב משתמשים בקוד מוכן בקובץ חיצוני ואותו dll יכול לשמש הרבה תוכנות אם לא היה dll עם הקוד שלו בפנים קבצי אקזה היו מאוד מאוד גדולים מאוד ענקיים והיה צריך כל פעם לכתוב הכל מההתחלה אנחנו למעשה מחליפים קובץ dll שהתוכנה מחפשת

3. 01:01

   ל-DLL הזדוני שלנו וכך תוכנה לגיטימית כמו מחשבון שמובנה בווינדוס מטעין את הקוד הזדוני ומריץ אותו ולאנטיווירוסים מאוד קשה לעלות על זה כי הם בודקים שקובץ קאלק זה קובץ לגיטימי חתום על ידי מייקרוסופט נותנים לו לעבוד חופשי וזה שאחרי זה הוא מטעין את ה-DLL שלנו את זה הם כבר לא יכולים לדעת כי

4. 01:23

   למעשה החלפנו את ה-DLL המקורי שהיה צריך להיטען תוך כדי פעולה של מייקרוסופט תוך כדי פעולה של מחשבון ב-DLL הזדוני שלנו. בואו נראה כל זה קורה הלכה למעשה.

5. 01:36

   דבר ראשון, אנחנו רוצים לתעד את כל ה-DLLים שנטענים. כי ברירת מחדל, סיסמון לא מתעד DLLים שהתוכנה טוענת. ובגלל שהוא לא מתעד את ה-DLLים, אנחנו לא יודעים מה לחטוף, מה להחליף.

6. 01:53

   אז אנחנו רוצים להוריד קובץ הגדרות לסיסמון, להגיד לו לתעד שמה DLLים, להפעיל את המחשבון, להעלות איזה dll אם המחשבון הזה מנסה להטעין ואחרי זה אנחנו נשים שם במקום ה-dll המקורי את ה-dll הזדוני שלנו.

7. 02:10

   בוא נתחיל לעשות את זה. דבר ראשון אני רואה פה ב-event viewer שסיסמון מתעד להרצה של מחשבון אבל לא מתעד לשום dll שהמחשבון מפעיל. אז אנחנו נלך ללינק ב-github שיש שם דוגמה ל-sysmon config, קובץ הגדרות של סיסמון כדי לא להמציא את הגלגל אנחנו נוריד קובץ הגדרות מוכן נגיד לאנטיווירוס

8. 02:34

   לשמור אותו זה קובץ הגדרות אני עושה רייט קליק קאט מספריים הולך לתיקיה של סיסמון שם את קובץ הגדרות כאן פותח אותו עם notepad++ אבל אני לא רואה שיש לי פה notepad++ אז נפתח אותו עם notepad++ נחפש את הקטע של image load on mate שווה include וצריך להחליף אותו ל-exclude אני בא לקובץ

9. 02:58

   תמצא לי אימג' לורד און מאץ׳ שווה משהו אנחנו רואים פה אימג' לורד און מאץ׳ שווה אינקלוד תכלול תתעד רק את הדברים שרשומים כאן אבל כאן לא רשום כלום זה הערה כללית אז הוא יתעד כלום אז אני אומר לו לא אל תתעד כלום תעשה אקסקלוד לכלום זאת אומרת תתעד הכל

10. 03:21

    אחרי שעשינו לו את ההחלפה הזאת אנחנו מריצים את הסיסמון עם קובץ ההגדרות החדש אני פותח CMD עם הרשאות של Run as Administator עם הרשאות גבוהות, מעתיק את הנתיב, עושה CDE, Change Directory, נכנס לתוך התיקייה הזאת, עושה דיר, רואה פה את כל הקבצים שלנו, כותב סיסמון אקזה מינוס C ונותן לו את הקובץ ההגדרות

11. 03:43

    שכרגע תיקנו אותו,