Nu orice exploit produce un payload imediat vizibil sau un lanț de procese evident. Exploatarea prin coruperea memoriei și a driver-ului de kernel poate apărea, de asemenea, sub formă de blocări ale aplicațiilor, eșecuri ale serviciilor sau defecțiuni ale componentelor de sistem.
Sursa include o vânătoare care utilizează telemetria de blocare Windows ca semnal suplimentar atunci când dovezile directe de execuție pot lipsi.
Componente incluse în vânătoare
Interogarea caută în Windows Event ID 1000 și 1001 mesaje care fac referire la:
clfs.sys;afd.sys;componente Win32k;
dwmcore.dll;lsass.exe;netlogon.dll;Chrome;
Microsoft Edge;
componente legate de V8.
Interogarea de detectare
data.win.system.eventID:(1000 or 1001) and data.win.system.message:(clfs.sys or afd.sys or win32k* or dwmcore.dll or lsass.exe or netlogon.dll or chrome.dll or msedge.dll or v8*)
Sursa descrie aceasta ca acoperire pentru exploatarea prin coruperea memoriei și a driver-ului de kernel în care execuția payload-ului nu este vizibilă.
A înregistrat zero evenimente în ultimele 30 de zile.
De ce pot fi utile evenimentele de blocare
O blocare în sine nu este o dovadă de exploatare. Defectele de software, driver-ele instabile, problemele hardware și eșecurile normale ale aplicațiilor pot genera toate evenimente similare.
Cu toate acestea, telemetria de blocare poate deveni valoroasă atunci când apare:
pe un sistem expus la internet sau sensibil;
imediat după o intrare suspectă;
aproape de indicatori de exploatare a browserului sau a aplicației;
cu puțin timp înainte de o execuție SYSTEM neașteptată;
în mod repetat pe mai multe sisteme.
Evenimentul oferă o altă informație contextuală care poate fi corelată cu semnale de securitate mai puternice.
Abordarea investigării
Pentru un eveniment de blocare relevant, analiștii ar trebui să examineze:
procesul sau modulul afectat;
rolul gazdei;
momentul exact;
versiunea aplicației;
evenimentele apropiate de creare a proceselor;
scrierile de fișiere;
activitatea de rețea;
alertele de securitate.
Dacă mai multe endpoint-uri prezintă același model de blocare neobișnuit după o activitate similară, evenimentul poate merita escaladat.
Evitarea supra-interpretării
Telemetria de blocare nu ar trebui tratată ca o regulă de compromitere de sine stătătoare. Valoarea sa constă în principal în corelare și în vânătoarea amenințărilor.
De exemplu, o blocare a browserului urmată de execuția PowerShell ar fi mai suspectă decât blocarea în sine. La fel, o blocare legată de driver urmată de un proces SYSTEM care se execută din Temp poate oferi un lanț mai puternic.
Utilizare operațională
Această regulă este utilă ca analiză de suport, mai degrabă decât ca alertă principală. Poate ajuta la scoaterea la iveală a tentativelor de exploatare care eșuează, reușesc parțial sau nu produc o telemetrie clară a payload-ului.
Absența potrivirilor în perioada sursei nu îi reduce valoarea. Modelele de blocare rare pot deveni importante atunci când se aliniază cu alți indicatori de endpoint.
