Мы Изучаем Состязательную Тактику, Методы И Общие Знания (Att@Ck). Тактика Предприятия. Часть 4

Повышение привилегий Ссылки на все части: Часть 1. Получение первоначального доступа Часть 2. Исполнение Часть 3. Настойчивость Часть 4. Повышение привилегий Часть 5. Обход защиты (Defense Evasion) Часть 6. Получение учетных данных (доступ к учетным данным) Часть 7. Открытие Часть 8. Боковое движение «Повышение привилегий — это результат действий, которые позволяют злоумышленнику или вредоносному ПО получить более высокий уровень разрешений в атакуемой системе или сети.

Техники повышения привилегий описывают методы, с помощью которых злоумышленник, получив непривилегированный доступ к атакуемой системе, используя различные «слабые места» системы, может получить права локального администратора, системы или root. Использование злоумышленниками учетных записей пользователей с правами доступа к определенным системам или разрешениями на выполнение определенных операций также можно рассматривать как повышение привилегий.

Автор не несет ответственности за возможные последствия использования представленной в статье информации, а также приносит извинения за возможные неточности в некоторых формулировках и терминах.

Публикуемая информация представляет собой вольный пересказ содержания.

МИТРА AT&CK .

Важно отметить, что некоторые из методов, описанных в матрице АТТ@СК , одновременно включены в несколько этапов цепочки атаки, например, перехват поиска DLL может использоваться как для защиты доступа путем несанкционированного выполнения вредоносной DLL, так и для повышения привилегий путем запуска DLL в процессе, работающем в контексте более привилегированный пользователь.

Управление токенами доступа

Злоумышленник может использовать функции Windows API для копирования токенов доступа из существующих процессов (Token Stealing), для этого он должен находиться в контексте привилегированного пользователя (например, администратора).

Кража токена доступа обычно используется для повышения привилегий от администратора до уровня системы.

Злоумышленник также может использовать токен доступа учетной записи для аутентификации в удаленной системе, если эта учетная запись имеет необходимые разрешения в удаленной системе.

Давайте рассмотрим несколько способов злоупотребления токенами доступа:

• Кража и подделка токенов.

  Олицетворение токена — это способность ОС запускать потоки в контексте безопасности, отличном от контекста процесса, которому принадлежит поток.

  Другими словами, олицетворение токенов позволяет совершать любые действия от имени другого пользователя.

  Злоумышленник может создать дубликат токена доступа, используя функцию ДубликатТокенEX и использовать Олицетворять вошедшего в систему пользователя для вызова потока в контексте вошедшего в систему пользователя или использования SetThreadToken чтобы назначить токен доступа к потоку.

• Создайте процесс, используя токен доступа.

  Злоумышленник может создать токен доступа с помощью функции ДубликатТокенEX а затем использовать его с CreateProcessWithTokenW для создания нового процесса, работающего в контексте олицетворенного пользователя.

• Получение и олицетворение токенов доступа.

  Злоумышленник, зная логин и пароль пользователя, может создать сеанс входа в систему с помощью функции API. Пользователь входа в систему , который вернет копию токена доступа к новому сеансу, а затем с помощью функции SetThreadToken назначьте маркер потоку.

  Metasploit Meterpreter и CobaltStrike имеют инструменты для манипулирования токенами доступа для повышения привилегий.

Любой пользователь может подделать токены доступа, если у него есть законные учетные данные.

Ограничьте возможность пользователей и групп создавать токены доступа: Объект групповой политики: Конфигурация компьютера > [Политики] > Настройки Windows > Параметры безопасности > Локальные политики > Назначение прав пользователя: создать объект токена.

Также определите, кто может заменять токены процессов для локальных или сетевых служб: Объект групповой политики: Конфигурация компьютера > [Политики] > Настройки Windows > Параметры безопасности > Локальные политики > Назначение прав пользователя: заменить токен уровня процесса

Изменение исполняемых файлов приложения «Функции специальных возможностей Windows»

Злоумышленник может подделать файлы запуска этих программ или изменить способ их запуска, а также открыть командную консоль или получить бэкдор без входа в систему.

• C:\Windows\System32\sethc.exe — запускается нажатием клавиши Shift 5 раз;
• C:\Windows\System32\utilman.exe — запускается нажатием комбинации Win+U.

В Vista и более поздних версиях вам необходимо изменить раздел реестра, который настраивает cmd.exe или другую программу в качестве отладчика, например ultiman.exe. После редактирования реестра и нажатия нужной комбинации клавиш на экране входа в систему или при подключении к хосту по RDP, cmd.exe запустится с правами Системы.

Существуют также программы для Windows, которые можно использовать для реализации этой техники атаки: C:\Windows\System32\osk.exe; C:\Windows\System32\Magnify.exe; C:\Windows\System32\Narrator.exe; C:\Windows\System32\DisplaySwitch.exe; C:\Windows\System32\AtBroker.exe. Рекомендации по защите: Настройте принудительную сетевую аутентификацию для удаленных пользователей перед созданием сеанса RDP и отображением экрана входа в систему ( включено по умолчанию в Windows Vista и более поздних версиях ).

Используйте шлюз удаленных рабочих столов для управления подключениями и настройки безопасности RDP.

Изменение ключа AppCert DLL

Значением ключа AppCertDLLs можно злоупотреблять, вызывая загрузку вредоносной DLL и запуск определенных процессов.

AppCertDLL хранятся в следующем разделе реестра: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager .

Рекомендации по защите: Используйте различные инструменты для блокировки потенциально опасного программного обеспечения и загрузки неизвестных DLL, например AppLocker и DeviceGuard.

Изменение ключа AppInit DLL

AppInit_DLL хранятся в следующих разделах реестра:

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows;
• HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows.

Функциональность AppInit_DLLs отключена в Windows 8 и более поздних версиях, когда включена безопасная загрузка.

Рекомендации по защите: Рассмотрите возможность использования версии ОС не ранее Windows 8 и включения безопасной загрузки.

Используйте различные инструменты для блокировки потенциально опасного программного обеспечения и загрузки неизвестных DLL, например AppLocker и DeviceGuard.

Злоупотребление подсистемой совместимости приложений (подмена приложений)

В системе совместимости используются так называемые прокладки («спейсеры») — библиотеки, выполняющие роль буфера между программой и ОС.

Используя шим-кеш, система определяет необходимость использования шим-пэдов (хранится в виде базы данных .

sdb).

В файлах .

sdb хранятся различные процедуры перехвата кода приложения, его обработки и дальнейшего перенаправления в ОС.

Список всех прокладок, установленных установщиком (sdbinst.exe), по умолчанию хранится в:

• %WINDIR%\AppPatch\sysmain.sdb ;
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\InstalledSDB .

• %WINDIR%\AppPatch[64]\Custom;
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Custom .

Однако некоторые прокладки можно использовать для обхода контроля учетных записей пользователей (UAC), внедрения DLL, отключения Предотвращение выполнения данных И Обработка структурных исключений , а также перехват адресов памяти.

Использование злоумышленником прокладок позволяет ему повышать привилегии, устанавливать бэкдоры и отключать защиту ОС, например Защитник Windows. Рекомендации по защите: Существует не так много способов предотвратить шиминг приложений.

Отключать совместимость приложений не рекомендуется во избежание проблем со стабильностью ОС.

Microsoft выпустила КБ3045645 , что удалит флаг «автоматического повышения» в sdbinst.exe, чтобы предотвратить использование прокладки для обхода UAC.

Обход контроля учетных записей пользователей

UACMe .

Регулярно обнаруживаются новые способы обхода UAC, похожие на злоупотребление системным приложением.

eventvwr.exe , который может выполнять двоичный файл или скрипт с повышенными правами.

Вредоносное ПО также может быть внедрено в доверенные процессы, которые UAC позволяет повышать привилегии без запроса пользователя.

Для обхода UAC с помощью eventvwr.exe модифицируется ключ в реестре Windows: [HKEY_CURRENT_USER]\Software\Classes\mscfile\shell\open\command .

Чтобы обойти UAC с помощью sdclt.exe, в реестре Windows изменяются следующие ключи: [HKEY_CURRENT_USER]\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe; [HKEY_CURRENT_USER]\Software\Classes\exefile\shell\runas\command\isolatedCommand. Рекомендации по защите: Удалите пользователей из группы локальных администраторов в защищенных системах.

Если возможно, включите самый высокий уровень безопасности в настройках UAC.

Перехват порядка поиска DLL

Часто каталог поиска DLL является рабочим каталогом программы, поэтому злоумышленники могут заменить исходную DLL вредоносной с тем же именем файла.

Атаки удаленного поиска DLL могут осуществляться, когда программа устанавливает свой текущий каталог в качестве удаленного каталога, например, общего сетевого ресурса.

Злоумышленники также могут напрямую изменить способ поиска и загрузки DLL, заменив файлы .

manifest или .

local, описывающие параметры поиска DLL. Если атакуемая программа запускается с высоким уровнем привилегий, то загруженная ею вредоносная DLL также будет исполняться с высокими правами.

В этом случае этот метод можно использовать для повышения привилегий от пользователя до администратора или системы.

Рекомендации по защите: Запретить удаленную загрузку DLL (включено по умолчанию в Windows Server 2012+ и доступно в обновлениях для XP+ и Server 2003+).

Включите безопасный режим поиска DLL, который ограничит каталоги поиска такими каталогами, как %SYSTEMROOT% перед поиском DLL в текущем каталоге приложения.

Включение режима безопасного поиска DLL: Конфигурация компьютера > [Политики] > Административные шаблоны > MSS (устаревшая версия): MSS: (SafeDllSearchMode) Включить режим безопасного поиска DLL. Соответствующий ключ реестра: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDLSearchMode. Рассмотрите возможность аудита защищенной системы для устранения недостатков DLL с помощью таких инструментов, как модуль PowerUP в PowerSploit. Не забывайте о блокировке вредоносного и потенциально опасного ПО, а также выполнении Рекомендации Майкрософт .

Угон Дилиба

Идея состоит в том, чтобы определить dylib, который загружает атакуемое приложение, а затем поместить вредоносную версию dylib с тем же именем в рабочий каталог приложения.

Это заставит приложение загрузить dylib, который находится в рабочем каталоге программы.

В этом случае вредоносная Dylib будет запущена с правами доступа атакуемого приложения.

Рекомендации по защите: Запретить пользователям записывать файлы в каталоги поиска dylib. Аудит уязвимостей с использованием Сканер угона Dylib из Цель-См.

Ээксплуатация для повышения привилегий

Рекомендации по защите: Регулярное обновление программного обеспечения на всех защищаемых рабочих станциях, серверах, сетевом оборудовании и других устройствах, подключенных к защищаемой сети.

Проанализируйте типы угроз, уязвимостей и эксплойтов, которые могут быть использованы против защищаемой организации.

Также рекомендуется использовать системы защиты от эксплойтов, например, Exploit Guard в Защитнике Windows (WDEG) для Windows 10 или Расширенный набор инструментов для смягчения последствий (EMET) для более ранних версий Windows. h3 EWM-инъекции (дополнительная оконная инъекция памяти) Система: Окна Права: Администратор, Система Описание: Этот метод предполагает злоупотребление дополнительной оконной памятью Windows, называемой дополнительной оконной памятью (EWM).

Размер EWM составляет 40 байт, он подходит для хранения 32-битного указателя и часто используется для указания ссылки на процедуру.

Вредоносные программы в рамках цепочки атак могут разместить в EWM указатель на вредоносный код, который впоследствии будет выполнен процессом зараженного приложения.

Рекомендации по защите: Учитывая, что методы внедрения EWM основаны на злоупотреблении функциями разработки ОС, усилия защиты должны быть направлены на предотвращение запуска злоумышленниками вредоносных программ и инструментов.

Рекомендуется выявлять и блокировать потенциально опасное программное обеспечение с помощью AppLocker, создания белого списка приложений или применения политик ограничения использования программного обеспечения.

Слабость разрешений файловой системы

После подмены вредоносный файл будет запущен с правами процесса, поэтому при наличии у процесса более высокого уровня доступа злоумышленник сможет повысить привилегии.

В рамках этой техники злоумышленники могут попытаться манипулировать двоичными файлами служб Windows. Другой вариант атаки связан с алгоритмическими недостатками в работе самораспаковывающихся инсталляторов.

В процессе установки программного обеспечения установщики часто распаковывают различные полезные файлы, в том числе .

dll и .

exe, в каталог %TEMP%, но могут не установить соответствующие разрешения для ограничения доступа к распакованным файлам, что позволяет злоумышленникам выполнить подмену файлов.

и как следствие повысить привилегии или обойти контроль учетных записей, т.к.

некоторые установщики запускаются с повышенными правами.

Рекомендации по защите: Ограничьте права учетной записи, чтобы только администраторы могли управлять службами и взаимодействовать с двоичными файлами, используемыми службами.

Отключите повышение привилегий UAC для обычных пользователей.

Настройки UAC хранятся в следующем ключе реестра:

• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] .

• «ConsentPromptBehaviorUser»=dword:00000000.

• "EnableInstallerDetection"=dword:00000001 , который потребует ввода пароля для установки программ.

Перехват вызовов функций Windows API (перехват)

• Процедуры-хуки — это процедуры, встроенные в ОС, которые выполняют код при вызове различных событий, например, нажатии клавиш или перемещении мыши;
• Модификации таблицы адресов (IAT), в которой хранятся указатели на функции API. Это позволит «обмануть» атакуемое приложение, заставив его запустить вредоносную функцию;
• Прямая модификация функции (сплайсинг), в ходе которой изменяются первые 5 байт функции, вместо чего вставляется переход к вредоносной или иной функции, определенной злоумышленником.

Злоумышленники могут перехватить вызовы API, которые включают параметры, содержащие данные аутентификации.

Перехват обычно используется руткитами для сокрытия вредоносной активности в системе.

Рекомендации по защите: Перехват событий ОС является частью нормальной работы системы, поэтому любое ограничение этой функциональности может негативно повлиять на стабильность легитимных приложений, например антивирусного ПО.

Усилия по предотвращению использования методов перехвата необходимо сосредоточить на более ранних этапах цепочки атаки.

Вы можете обнаружить вредоносную активность перехвата, отслеживая вызовы функций SetWindowsHookEx и SetWinEventHook, используя детекторы руткитов и анализируя аномальное поведение процессов.

IFEO-инъекции (инъекция параметров выполнения файла образа)

• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Параметры выполнения файла изображения/[исполняемый файл]
• HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Параметры выполнения файла изображения\[исполняемый файл] , Где [исполняемый файл] представляет собой исполняемый двоичный файл отладчика.

Вредоносное ПО может использовать IFEO для обхода защиты путем регистрации отладчиков, которые перенаправляют и отклоняют различные системные приложения и приложения безопасности.

Рекомендации по защите: Описанный метод основан на злоупотреблении стандартными средствами разработки ОС, поэтому любые ограничения могут вызвать нестабильность легального программного обеспечения, например приложений безопасности.

Усилия по предотвращению использования методов внедрения IFEO необходимо сосредоточить на более ранних этапах цепочки атаки.

Вы можете обнаружить такую атаку, отслеживая процессы с помощью флагов.

Debug_process И Debug_only_this_process .

Запустить демон >

• /Система/Библиотека/LaunchDeamons;
• /Библиотека/LaunchDeamons.

Файлы Plist должны иметь разрешения root: while, но сценарий или программа, указанные в нем, могут иметь менее строгие разрешения.

Таким образом, злоумышленник может изменить исполняемые файлы, указанные в plist, и таким образом изменить текущие системные службы, чтобы закрепиться в системе или повысить привилегии.

Рекомендации по защите: Ограничьте права пользователей, чтобы только авторизованные администраторы могли создавать Launch Daemon. Рассмотрите возможность мониторинга создания файлов plist в системе с помощью такого приложения, как KnockKnock.

Новые услуги

Имя службы можно замаскировать, используя имена, специфичные для операционной системы.

Службы можно создавать с правами администратора, но запускать как System. Службы можно создавать из командной строки, используя инструменты удаленного доступа с функциональностью Windows API или используя стандартные инструменты управления Windows и PowerShell. Рекомендации по защите: Ограничьте права пользователей на создание новых сервисов, чтобы это могли делать только авторизованные администраторы.

Используйте AppLocker и Политика ограничения программного обеспечения .

Перехват пути

Злоумышленник может использовать следующие методы:

• Несуществующие пути.

  Пути к исполняемым файлам служб хранятся в разделах реестра и могут содержать, например, один или несколько пробелов.

  C:\Program Files\service.exe , если злоумышленник создает файл в системе C:\Program.exe , то Windows запустит его вместо целевого служебного файла при обработке пути.

• Неправильная конфигурация переменных среды.

  Если переменная PATH содержит путь C:\пример предшествовал с:\Windows\System32 и файл существует C:\example\net.exe , то когда вы вызовете команду net, она будет выполнена C:\example\net.exe , но нет c:\Windows\System32\net.exe .

• Перехват порядка поиска.

  Если не указан полный путь к исполняемому файлу, Windows обычно ищет файл с указанным именем в текущем каталоге, а затем выполняет поиск в системных каталогах.

  Например, файл «example.exe» при запуске запускает cmd.exe с аргументами для выполнения команды net use. Злоумышленник может поместить файл net.exe в каталог, где находится example.exe, и он будет запущен вместо утилиты.

  c:\Windows\System32\net.exe .

  Кроме того, если злоумышленник поместит файл net.com в тот же каталог, что и файл net.exe, Windows выполнит net.com в порядке выполнения, указанном в системной переменной PATHEXT.

Рекомендации по защите: Заключайте в кавычки пути, указанные в файлах конфигурации, скриптах, PATH, настройках служб и ярлыках.

Помните о порядке поиска исполняемых файлов и используйте только полные пути.

Очистите старые ключи реестра, оставшиеся от удаленного программного обеспечения, чтобы в реестре не осталось ключей, указывающих на несуществующие файлы.

Установите запрет пользователям системы на запись в корневой каталог C:\ и системные каталоги Windows, ограничьте права на запись в каталоги с исполняемыми файлами.

Модификация списка

plist файлы свойств, расположенные в /Библиотека/Настройки выполняются с повышенными привилегиями и plist из ~/Библиотека/Настройки выполняются с правами пользователя.

Рекомендации по защите: Предотвратите изменение файлов plist, сделав их доступными только для чтения.

Изменение мониторов портов в диспетчере печати (мониторы портов)

Для взаимодействия с печатающими устройствами Spoolsv.exe использует так называемые мониторы портов — это библиотеки DLL, с помощью которых низкоуровневые команды передаются печатающим устройствам через LAN, USB, LPT или COM-интерфейс.

Вышеуказанные библиотеки DLL хранятся в C:\windows\system32 и зарегистрированы в реестре: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Monitors .

Port Monitor можно установить с помощью функции API AddMonitor или напрямую, отредактировав указанный выше ключ реестра.

Рекомендации по защите: Блокируйте потенциально опасное ПО и используйте инструменты контроля запуска приложений.

Внедрение кода в процесс (Process Injection), Десять методов технологического внедрения

Запуск кода в контексте другого процесса позволяет вам получить доступ к памяти внедренного процесса, системным/сетевым ресурсам и, возможно, повышенным привилегиям.

Внедрение процессов также можно использовать, чтобы избежать возможного обнаружения вредоносной активности средствами безопасности.

Техники реализации инъекций процессов основаны на использовании различных механизмов, обеспечивающих многопоточное выполнение программ в ОС.

Ниже приведены некоторые подходы к внедрению кода в процесс.

Окна • DLL-инъекции.

Они выполняются путем записи пути к вредоносной DLL внутри процесса и последующего ее выполнения путем создания удаленного потока (Удаленный поток — поток, работающий в виртуальном адресном пространстве другого процесса).

Другими словами, вредоносная программа записывает DLL на диск, а затем использует такую функцию, как CreateRemoteTread, для вызова функции LoadLibrary во внедренном процессе.

• PE-инъекции (переносные внедрения исполняемых файлов) основаны на злоупотреблении возможностями выполнения в памяти PE-файлов, таких как DLL или EXE. Вредоносный код записывается в процесс без записи каких-либо файлов на диск, а затем с помощью дополнительного кода или создания удаленного потока вызывает его выполнение.

• Захватывать Теги: #информационная безопасность #инъекция #att&ck #Sudo #эскалация привилегий #emet #killchain #хакерская атака #запланированное задание #перехват #эскалация привилегий #перехват #AtomBombing #dylib #weakness #plist #Действительные учетные записи #методы атаки #эскалация привилегий #Доступ Манипулирование токенами #Функции доступности #sethc.exe #utilman.exe #AppCert DLL #AppInit DLL #Подстановка приложений #Обход UAC #EWM #IFEO #Launch Daemon #Политика ограничения программного обеспечения #Перехват #Переносимое внедрение исполняемого файла #Выполнение потока #Разрешения реестра служб # Setuid #Setgid #элементы запуска #Кэширование Sudo #Web Shell

• «Лучшее Творение Маска — Его Империя»: Как Компании Илона Маска Привлекают Средства И Выживают

  19 Oct, 24

• Аннотация Доклада «Что Мы Знаем О Микросервисах» (Hl2018, Авито, Вадим Мэдисон)

  19 Oct, 24

• Устаревшие Сервисы В Вашей Инфраструктуре

  19 Oct, 24

• Умные Часы От Asus На Выставке Ifa 2014

  19 Oct, 24

• Новые Типы Файлов В Google Docs

  19 Oct, 24

• Джанго 1.0 Альфа

  19 Oct, 24

• Веб-Сервисы Для Проверки Сайтов На Вирусы

  19 Oct, 24

• Twitter Впервые Обогнал Digg

  19 Oct, 24

• Любишь Ли Ты Их Настолько, Чтобы Увидеть, Что У Них Внутри?

  19 Oct, 24

• Онлайн-Трансляция С Конференции «Современное Технологическое Образование В Школе: От Компьютера К Роботу»

  19 Oct, 24