Подяки щодо Persistence Hunter¶
Команда persistence-hunter у Juntei спирається на два покоління напрацювань спільноти з пошуку механізмів закріплення.
Дякуємо авторам і учасникам, які зробили свої методики, реалізації та дослідження
доступними для слідчих.
PyrsistenceSniper: проєкт на Python¶
PyrsistenceSniper від
Hexastrike — безпосередній еталон для цієї функції. Juntei переносить
його каталог із 130 перевірок на нативний Rust разом із типовим списком дозволених елементів, знімком LOLBAS і
поведінкою класифікації. Еталонну версію зафіксовано на
коміті b99c117.
Проєкт на Python поширюється за ліцензією MIT. Juntei зберігає його повідомлення про авторські права та ліцензію в
THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt.
Реалізація Juntei працює офлайн без інтерпретатора Python. Обробку зібраних даних,
звітування про покриття та консервативну інтерпретацію неповних доказів задокументовано в
посібнику з команди.
PersistenceSniper: оригінальний інструмент на PowerShell¶
PersistenceSniper — оригінальний проєкт на PowerShell для пошуку механізмів закріплення, який надихнув PyrsistenceSniper. PyrsistenceSniper зазначає авторство Федеріко Лаграсти; оригінальний репозиторій також зазначає Ріккардо Анкарані та інших учасників. Дякуємо оригінальному проєкту та його учасникам за те, що вони спростили дослідження механізмів закріплення Windows.
Безпосереднім еталоном для перенесення в Juntei є проєкт на Python. Оригінальний інструмент на PowerShell згадано як частину цієї історії походження. Juntei також незалежно реалізує механізми, запропоновані hongson11698 в оригінальному проєкті: PR #31 щодо розв'язання COM запланованих завдань і PR #32 щодо бібліотек меню «Пуск»/папок CLSID. Вони доповнюють еталонний каталог Python; це не означає, що кожну функцію для працюючих систем з будь-якого з цих першоджерельних проєктів реалізовано в офлайн-команді Juntei.
Допоміжні дослідження та інструменти¶
- MITRE ATT&CK надає ідентифікатори технік, що містяться в каталозі. Зіставлення з технікою описує можливе використання механізму; відповідне значення реєстру або файл саме по собі не є атакою, підтвердженою ATT&CK.
- Microsoft Sysinternals Autoruns також визнано в PyrsistenceSniper джерелом натхнення для дослідження автозапуску Windows.
- LOLBAS документує легітимні двійкові файли Windows, якими можна зловживати. Розпізнавання одного з цих файлів допомагає інтерпретувати команду, але не робить цю команду автоматично шкідливою.
Про основи парсерів реєстру, NTFS, Shell Link, журналів подій та інших, що використовуються в усьому Juntei, див. подяки щодо всього проєкту.
Повернутися до посібника з механізмів закріплення.