Техника на mitre.org

T1112: Изменение реестра

Злоумышленники могут взаимодействовать с реестром Windows для скрытия информации о конфигурации в ключах реестра, удаления данных в процессе заметания следов или для закрепления в системе либо выполнения кода при использовании других техник.

Доступ к определенным разделам реестра определяется разрешениями учетной записи, причем некоторые разделы доступны только администраторам. Для локального или удаленного изменения реестра Windows может использоваться системная утилита командной строки reg . Могут использоваться и другие средства, например инструмент удаленного доступа, который может включать в себя функциональность для взаимодействия с реестром через API Windows.

Манипуляции с реестром также могут включать скрытие ключей, например путем добавления к их именам нулевого символа — он приведет к ошибке и (или) будет проигнорирован при чтении реестра с помощью reg или других утилит, использующих API Win32 . Злоумышленники могут использовать эти замаскированные ключи для скрытия полезной нагрузки или команд, используемых для закрепления в системе .

Реестр удаленной системы может быть изменен, чтобы обеспечить выполнение файлов при перемещении внутри периметра. Для этого необходимо, чтобы на целевой системе была запущена служба удаленного реестра . Для взаимодействия через RPC часто требуется доступ к существующим учетным записям, а также к общим SMB- и административным ресурсам Windows удаленной системы.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

mitre_attck_impact: PT-CR-502: Stop_Important_Service_Registry: Обнаружение попыток остановить важную службу. Список служб находится в табличном списке Significant_Services. remote_work: PT-CR-435: Windows_Firewall_Enable_Local_RDP: Разрешен удаленный доступ к системе по протоколу RDP mitre_attck_cred_access: PT-CR-297: Abusing_CredSSP: Изменены параметры CredSSP для использования менее безопасных алгоритмов проверки подлинности пользователя mitre_attck_cred_access: PT-CR-771: LSASS_Dump_Via_SilentProcessExit: Возможное создание дампа памяти процесса lsass.exe с помощью SilentProcessExit mitre_attck_cred_access: PT-CR-566: LSA_SSP_Change: Изменены значения параметров реестра, в которых прописаны пути к библиотекам Security Support Provider (SSP) mitre_attck_cred_access: PT-CR-2077: Netlogon_Activated: Изменен параметр реестра, отвечающий за разрешение уязвимого подключения по безопасному каналу Netlogon для устройств, работающих не под ОС Windows mitre_attck_cred_access: PT-CR-1769: Subrule_PPLmedic_DllLoad: Утилита PPLmedic внедрила в реестр файл DDL mitre_attck_lateral_movement: PT-CR-1372: Remote_SSP_Dump: Использование скрипта из измененного набора инструмента Impacket, позволяющего удаленно сделать дамп памяти процесса lsass mitre_attck_lateral_movement: PT-CR-785: Modify_And_Start_Remote_Service: Обнаружена попытка выполнения кода или горизонтального перемещения путем изменения команды запуска системных служб mitre_attck_lateral_movement: PT-CR-1752: Service_From_Remote_File_Creation: Создание службы из сетевой директории mitre_attck_lateral_movement: PT-CR-788: Shadow_Key_Creation: Обнаружено создание раздела реестра Shadow для теневого RDP-подключения mitre_attck_lateral_movement: PT-CR-956: Disable_Smartcard: Отключение опции Smart Card в реестре mssql_database: PT-CR-426: MSSQL_Write_Registry_Value: Попытка записать значение ключа реестра из базы данных hacking_tools: PT-CR-757: Internal_Monologue_Attack: Обнаружена атака NetNTLM Downgrade с помощью утилиты Internal Monologue hacking_tools: PT-CR-1838: NimExec_Activity: Активность инструмента NimExec, использующегося для удаленного выполнения команд mitre_attck_defense_evasion: PT-CR-2558: NTLM_Downgrade: Изменены разделы реестра, отвечающие за версию протокола аутентификации NTLM. Это может быть признаком атаки NTLM Downgrade, в ходе которой злоумышленник понижает версию протокола, чтобы ослабить защиту передаваемых данных mitre_attck_defense_evasion: PT-CR-643: Hide_Account_From_Logon_Screen: Имя пользователя скрыто с экрана приветствия mitre_attck_defense_evasion: PT-CR-563: Disable_Restricted_Admin_Mode: Процесс изменил значение ключа реестра для отключения режима Restricted Admin mitre_attck_defense_evasion: PT-CR-193: ControlPanel_AWL_Bypass: Попытка обойти запрет на запуск приложений с помощью встроенной утилиты Microsoft Windows control.exe (используется для запуска элементов панели управления) mitre_attck_defense_evasion: PT-CR-454: Dnscmd_AWL_Bypass: Попытка обойти запрет на запуск приложений с помощью встроенной утилиты Microsoft Windows dnscmd.exe (интерфейс командной строки для управления DNS-серверами) mitre_attck_defense_evasion: PT-CR-1360: Suspicious_Registry_Value: Злоупотребление реестром Windows, что может быть признаком подготовки к атаке: закрепления, повышения привилегий, горизонтального перемещения, предотвращения обнаружения, сбора данных и другой вредоносной активности mitre_attck_defense_evasion: PT-CR-940: SharpEventPersist_Usage: Запуск утилиты SharpEventPersist, используемой для закрепления в системе mitre_attck_defense_evasion: PT-CR-312: Disable_LSA_Protection: Отключена защита LSA mitre_attck_defense_evasion: PT-CR-1856: DNS_Over_HTTPS_Enable: Злоумышленники могут включить протокол DNS over HTTPS для браузера или Windows, чтобы скрыть интернет-трафик или процесс утечки данных mitre_attck_defense_evasion: PT-CR-562: Disable_Credential_Guard: Функция Credential Guard отключена в реестре mitre_attck_defense_evasion: PT-CR-773: LSASS_SilentProcessExit_Keys: Созданы разделы реестра для дампа памяти процесса lsass.exe с помощью SilentProcessExit mitre_attck_defense_evasion: PT-CR-313: WDigest_Enable: Включен метод проверки подлинности WDigest mitre_attck_defense_evasion: PT-CR-1208: EventLog_File_Substitute: Подменен путь до файла журнала Windows, чтобы сделать его недоступным mitre_attck_defense_evasion: PT-CR-2224: Safe_Mode_Boot: Модификация параметров системы или ключей реестра, отвечающих за запуск системы, процессов, сервисов или драйверов в безопасном режиме. Это позволит злоумышленникам отключить защиту конечных точек и избежать обнаружения mitre_attck_defense_evasion: PT-CR-2234: Office_Security_Params_Changed: Пользователь изменил ключ реестра, отвечающий за безопасность приложений пакета MS Office. Злоумышленники могут использовать макросы MS Office для закрепления в системе mitre_attck_defense_evasion: PT-CR-1859: Disable_UAC_Remote_Restrictions: Злоумышленники могут отключить UAC в рамках контроля удаленных подключений. Это позволяет высокопривилегированным пользователям подключиться к удаленному узлу с использованием учетной записи из локальной группы администраторов на этом узле mitre_attck_defense_evasion: PT-CR-1210: MiniNT_Key_Created: Служба регистрации событий Windows отключена добавлением ключа MiniNT в реестр mitre_attck_defense_evasion: PT-CR-933: Malicious_Activity_From_Office_Documents: Подозрительная активность офисных программ: создание исполняемых файлов, изменение ключей реестра, загрузка DLL-библиотеки COM-объекта Internet Explorer, создание потоков в адресном пространстве иных процессов mitre_attck_defense_evasion: PT-CR-1368: Disable_Sysmon: Служба Sysmon изменена или отключена mitre_attck_discovery: PT-CR-2235: Always_Install_Elevated_Enable: Злоумышленники могут изменить ключ реестра, отвечающий за установку пакетов Windows Installer с системными привилегиями, с целью повысить привилегии mitre_attck_command_and_control: PT-CR-461: Port_Forwarding_Or_Tunneling: Обнаружена возможная попытка пробросить сетевой порт mitre_attck_execution: PT-CR-777: Hidden_Scheduled_Task: Обнаружено создание скрытой запланированной задачи или скрытное изменение уже существующей запланированной задачи без записи в журнал событий Windows. Создание задачи или ее изменение может выполняться непосредственно напрямую в реестре, без использования Планировщика заданий Windows mitre_attck_execution: PT-CR-778: Hidden_Service_Create: Обнаружено создание скрытой службы через реестр без использование функции CreateService mitre_attck_privilege_escalation: PT-CR-2461: UAC_Bypass_Via_Registry_Hijacking: Пользователь повысил привилегии с помощью одной из системных утилит, в манифесте которых прописано поднятие привилегий без запроса контроля учетных записей пользователей (UAC) (элемент "autoElevate"). Чтобы получить токен локального администратора с повышенными привилегиями (Integrity Level: High), злоумышленники создают в реестре ключ "DelegateExecute" и записывают полезную нагрузку в ту же ветку, в ключ "(Default)". После этого они запускают системную утилиту, которая обращается к этому ключу и всегда выполняется с повышенными привилегиями, что позволяет запустить ранее записанную полезную нагрузку с максимальными привилегиями. Для этих целей могут использоваться следующие системные утилиты: eventvwr.exe, fodhelper.exe, ComputerDefaults.exe, slui.exe и control.exe mitre_attck_privilege_escalation: PT-CR-2460: Registry_Modification_For_UAC_Bypass: Изменение реестра, которое может быть признаком попытки повысить привилегии. Чтобы получить токен локального администратора с повышенными привилегиями (Integrity Level: High), злоумышленники создают в реестре ключ "DelegateExecute" и записывают полезную нагрузку в ту же ветку, в ключ "(Default)". После этого они запускают системную утилиту, которая обращается к этому ключу и всегда выполняется с повышенными привилегиями, что позволяет запустить ранее записанную полезную нагрузку с максимальными привилегиями mitre_attck_persistence: PT-CR-2633: Network_Provider_Modification: Создание или регистрация нового поставщика сети путем изменения разделов реестра. Это может свидетельствовать о попытке злоумышленника закрепиться в системе с помощью DLL-библиотеки нового поставщика сети mitre_attck_persistence: PT-CR-261: GlobalFlags_In_Image_File_Execution_Options: Обнаружена попытка изменить ключ реестра "Image File Execution Options", чтобы встроить стороннее программное обеспечение в цепочку запуска mitre_attck_persistence: PT-CR-1345: Abusing_Windows_Telemetry_Persist: Закрепление путем изменения настроек компонента TelemetryController mitre_attck_persistence: PT-CR-666: Universal_Windows_Platform_Apps_Modify: Установлен ключ для UWP-приложения mitre_attck_persistence: PT-CR-963: Perf_Key_Modify: Изменено значение ключа реестра Perf mitre_attck_persistence: PT-CR-521: Debugger_In_Image_File_Execution_Options: Обнаружена попытка встроить стороннее программное обеспечение в цепочку запуска через "Debugger" mitre_attck_persistence: PT-CR-809: Hiding_Already_Existing_Task: Скрыто запланированное задание mitre_attck_persistence: PT-CR-1348: RID_Hijacking_Persistence: Закрепление путем перехвата RID учетной записи mitre_attck_persistence: PT-CR-2668: Outlook_Form_Creation: Создана пользовательская форма в клиенте Outlook. Это может быть действием злоумышленника с целью повысить привилегии или выполнить произвольный код mitre_attck_persistence: PT-CR-268: Windows_Accessibility_StickyKey_Modification: Обнаружена попытка изменить ключ реестра, отвечающий за запуск приложений специальных возможностей mitre_attck_persistence: PT-CR-1349: AppCert_DLLs_Persist: Закрепление путем изменения настроек компонента AppCertDLLs mitre_attck_persistence: PT-CR-2702: Outlook_Malicious_Actions: Изменение наиболее опасных параметров в клиенте Outlook путем редактирования разделов реестра. Злоумышленник может изменить параметры в Outlook, чтобы выполнить произвольный код, повысить привилегии или закрепиться в системе mitre_attck_persistence: PT-CR-2594: Hidden_Account_Creation: Создана скрытая учетная запись с правами администратора с использованием нового раздела реестра с информацией о пользователе. Событие не зарегистрировано в журнале событий Windows mitre_attck_persistence: PT-CR-2649: Outlook_Form_Exploitation: Приложение Outlook запустило подозрительный процесс после создания пользовательской формы в клиенте Outlook. Это может свидетельствовать о попытке злоумышленника закрепиться в системе или выполнить произвольный код mitre_attck_persistence: PT-CR-667: Userinitmprlogonscript_Modify: Процесс изменил значение параметра реестра mitre_attck_persistence: PT-CR-265: COM_Object_Persistence: Обнаружена попытка изменить ссылки и взаимодействия Component Object Model в реестре Microsoft Windows mitre_attck_persistence: PT-CR-662: Command_Processor_Autorun_Modify: Процесс изменил значение параметра ключа реестра интерпретатора командной строки (cmd.exe) mitre_attck_persistence: PT-CR-1346: Time_Providers_Persistence: Закрепление путем изменения настроек в разделе TimeProviders mitre_attck_persistence: PT-CR-267: Registry_Winlogon_Helper: Закрепление путем изменения настроек компонента Winlogon mitre_attck_persistence: PT-CR-664: Default_File_Association_Modify: Процесс изменил одну из веток реестра, отвечающих за определение приложения по умолчанию, которое используется, чтобы открывать файлы, имеющие определенное расширение в системе mitre_attck_persistence: PT-CR-2616: Windows_Startup_Folder_Modification: Изменена папка автозагрузки для одного пользователя или всех пользователей путем модификации раздела реестра. Злоумышленник может загрузить вредоносный файл в новую папку автозагрузки, чтобы закрепиться в системе и повысить свои привилегии mitre_attck_persistence: PT-CR-1997: EventViewer_Registry_Modify: Изменен ключ реестра, отвечающий за перенаправление на справку по компоненту "Просмотр событий". Атакующий может поместить в него путь к файлу, который будет выполняться при получении справки, для закрепления на целевой системе

Способы обнаружения

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Отслеживайте выполнение команд с аргументами, которые могут использоваться для изменения, скрытия и (или) удаления информации из реестра. Для изменения реестра также может использоваться инструментарий управления Windows и PowerShell. Для сбора данных о работе этих средств и их последующего анализа может потребоваться дополнительная настройка функций журналирования.

ID	DS0029	Источник и компонент данных	Сетевой трафик: Поток сетевого трафика	Описание	Удаленный доступ к реестру можно получить с помощью: функции API Windows с именем RegConnectRegistry; утилиты командной строки reg.exe; утилиты regedit.exe с графическим интерфейсом. При всех этих действиях вызывается функция API Windows, использующая именованный канал WINREG по SMB для обработки данных протокола. Эти сетевые данные можно расшифровать с помощью wireshark или аналогичного датчика и обнаружить путем перехвата функции API. Аналитика 1. Удаленный реестр `source="Zeek:" (dest_port="445" AND proto_info.pipe="WINREG") OR (proto_info.function="Create" OR proto_info.function="SetValue")`

ID	DS0024	Источник и компонент данных	Реестр Windows: Удаление ключа реестра Windows	Описание	Отслеживайте подозрительное удаление ключей реестра Windows, выполняемое с целью скрытия сведений о конфигурации, удаления данных, маскировки следов или закрепления в системе и выполнения кода другими методами.

ID	DS0024	Источник и компонент данных	Реестр Windows: Создание ключа реестра Windows	Описание	Отслеживайте создание ключей и значений реестра, которые могут быть использованы для закрепления в системе либо выполнения кода. Отслеживайте создание ключа реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode. Если значение ключа SafeDllSearchMode будет задано как 0, ключ заблокирует механизм Windows для поиска DLL-библиотек, и злоумышленники смогут выполнять свои вредоносные DLL-библиотеки. Аналитика 1. Создание ключа SafeDllSearchMode в реестре со значением 0 `((source="WinEventLog:Security" EventCode="4657")(ObjectValueName="SafeDllSearchMode" value="0")) OR ((source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13") EventType="SetValue" TargetObject="*SafeDllSearchMode" Details="DWORD (0x00000000)")))`

ID	DS0024	Источник и компонент данных	Реестр Windows: Изменение ключа реестра Windows	Описание	Отслеживайте изменения в ключах и значениях реестра Windows. По возможности включите аудит реестра для конкретных ключей, чтобы при каждом изменении значений создавалось событие с идентификатором 4657, для которого можно настроить уведомления (учтите, что событие может не генерироваться при создании значений с помощью Reghide и других методов, направленных на избежание обнаружения) . Изменение записей реестра, которые загружают ПО при запуске Windows и не связаны с известным ПО, циклами выпуска исправлений и другой легитимной активностью, стоит считать подозрительным, как и добавление и изменение файлов в папке автозагрузки. Эти изменения могут включать добавление служб и замену путей к существующим файлам на пути к вредоносным. После изменения записи, связанной со службой, скорее всего, произойдет ее локальный или удаленный запуск либо перезапуск для выполнения файла. Отслеживайте изменения в значениях Notify, Userinit и Shell ключей реестра, расположенных в HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\ и HKEY_LOCAL_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon. При входе пользователя в систему данные значения используются для загрузки соответствующих компонентов Windows. Злоумышленники могут внедрить полезную нагрузку, которая будет запущена после обработки легитимного значения. Отслеживайте изменения в ключе реестра Common Startup, расположенного в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\ и HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders. При входе пользователя в систему запускаются все файлы, хранящиеся в папке автозагрузки. Злоумышленники могут добавлять файлы так, чтобы обойти методы обнаружения, нацеленные на стандартные папки. Данный метод обнаружения отслеживает события с идентификаторами 4688 и 1, регистрирующие создание процессов, и событие с идентификатором 4657, регистрирующее модификацию ключей реестра. Аналитика 1. Изменение реестра путем модификации Userinit, Shell и Notify `source="WinEventLog:Security" EventCode="4657" (ObjectValueName="Userinit" OR ObjectValueName="Shell" OR ObjectValueName="Notify") OR source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13" (TargetObject="Userinit" OR TargetObject="Shell" OR TargetObject="Notify")` Аналитика 2. Изменение папки автозагрузки по умолчанию с помощью ключа реестра Common Startup `(source="WinEventLog:Security" EventCode="4657" ObjectValueName="Common Startup") OR (source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13" TargetObject="Common Startup")`

ID	DS0009	Источник и компонент данных	Процесс: Вызовы API ОС	Описание	Отслеживайте вызовы API, которые могут использоваться для скрытия ключей реестра, например Reghide . Находите и удаляйте или исправляйте скрытые вредоносные записи реестра, используя вызовы нативного API Windows и (или) такие инструменты, как Autoruns и RegDelNull. Другие вызовы API, относящиеся к изменению реестра: `RegOpenKeyExA`, `RegCreateKeyExA`, `RegDeleteKeyExA`, `RegDeleteValueExA`, `RegEnumKeyExA`, `RegEnumValueExA`. Примечание. Большинство инструментов EDR не поддерживают прямой мониторинг вызовов API, так как конечная система генерирует их слишком много. Однако они могут создавать оповещения или события на основе абстракции вызовов API ОС. Для отслеживания процедуры выполнения (включая вызовы API ОС) отдельного PE-бинарного файла можно использовать инструменты динамического анализа вредоносного ПО (то есть песочницы).

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Отслеживайте процессы и аргументы командной строки, которые могут использоваться для изменения, скрытия и (или) удаления информации из реестра (такие как reg.exe и regedit.exe). Аналитика отслеживает запуск процесса reg процессом cmd.exe, родительским процессом которого не является explorer.exe. Встроенная утилита reg.exe обеспечивает интерфейс командной строки для работы с реестром, позволяя выполнять запросы и модификации из оболочки, например cmd.exe. Если такие действия инициированы пользователем, как правило, родительским процессом cmd.exe является explorer.exe. Опытные пользователи и администраторы могут создавать сценарии, которые будут выполнять эти же действия, но, скорее всего, из другого дерева процессов. Следует создать список легитимных сценариев, запускаемых в фоновом режиме, чтобы исключить ложные срабатывания. В аналитике указаны идентификаторы событий для Sysmon (1: создание процесса) и журнала безопасности Windows (4688: создание нового процесса). Аналитика 1. Вмешательство в реестр с модификацией Userinit, Shell или Notify `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") ((CommandLine="reg" CommandLine="add" CommandLine="/d") OR ((CommandLine="Set-ItemProperty" OR CommandLine="New-ItemProperty") AND CommandLine="-value")) CommandLine="\Microsoft\Windows NT\CurrentVersion\Winlogon" (CommandLine="Userinit" OR CommandLine="Shell" OR CommandLine="Notify")` Аналитика 2. Изменение папки автозагрузки по умолчанию с помощью ключа реестра Common Startup `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") (CommandLine="reg" AND CommandLine="add" AND CommandLine="/d") OR (CommandLine="Set-ItemProperty" AND CommandLine="-value") CommandLine="Common Startup"` Аналитика 3. Вмешательство в реестр с созданием ключа SafeDllSearchMode со значением 0 `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688")((CommandLine="reg" CommandLine="add" CommandLine="/d") OR (CommandLine="Set-ItemProperty" CommandLine="-value")) (CommandLine="00000000" OR CommandLine="0") CommandLine="SafeDllSearchMode")`

ID	Источник и компонент данных	Описание
DS0017	Команда: Выполнение команд	Отслеживайте выполнение команд с аргументами, которые могут использоваться для изменения, скрытия и (или) удаления информации из реестра. Для изменения реестра также может использоваться инструментарий управления Windows и PowerShell. Для сбора данных о работе этих средств и их последующего анализа может потребоваться дополнительная настройка функций журналирования.
DS0029	Сетевой трафик: Поток сетевого трафика	Удаленный доступ к реестру можно получить с помощью: функции API Windows с именем RegConnectRegistry; утилиты командной строки reg.exe; утилиты regedit.exe с графическим интерфейсом. При всех этих действиях вызывается функция API Windows, использующая именованный канал WINREG по SMB для обработки данных протокола. Эти сетевые данные можно расшифровать с помощью wireshark или аналогичного датчика и обнаружить путем перехвата функции API. Аналитика 1. Удаленный реестр `source="Zeek:" (dest_port="445" AND proto_info.pipe="WINREG") OR (proto_info.function="Create" OR proto_info.function="SetValue")`
DS0024	Реестр Windows: Удаление ключа реестра Windows	Отслеживайте подозрительное удаление ключей реестра Windows, выполняемое с целью скрытия сведений о конфигурации, удаления данных, маскировки следов или закрепления в системе и выполнения кода другими методами.
DS0024	Реестр Windows: Создание ключа реестра Windows	Отслеживайте создание ключей и значений реестра, которые могут быть использованы для закрепления в системе либо выполнения кода. Отслеживайте создание ключа реестра HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode. Если значение ключа SafeDllSearchMode будет задано как 0, ключ заблокирует механизм Windows для поиска DLL-библиотек, и злоумышленники смогут выполнять свои вредоносные DLL-библиотеки. Аналитика 1. Создание ключа SafeDllSearchMode в реестре со значением 0 `((source="WinEventLog:Security" EventCode="4657")(ObjectValueName="SafeDllSearchMode" value="0")) OR ((source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13") EventType="SetValue" TargetObject="*SafeDllSearchMode" Details="DWORD (0x00000000)")))`
DS0024	Реестр Windows: Изменение ключа реестра Windows	Отслеживайте изменения в ключах и значениях реестра Windows. По возможности включите аудит реестра для конкретных ключей, чтобы при каждом изменении значений создавалось событие с идентификатором 4657, для которого можно настроить уведомления (учтите, что событие может не генерироваться при создании значений с помощью Reghide и других методов, направленных на избежание обнаружения) . Изменение записей реестра, которые загружают ПО при запуске Windows и не связаны с известным ПО, циклами выпуска исправлений и другой легитимной активностью, стоит считать подозрительным, как и добавление и изменение файлов в папке автозагрузки. Эти изменения могут включать добавление служб и замену путей к существующим файлам на пути к вредоносным. После изменения записи, связанной со службой, скорее всего, произойдет ее локальный или удаленный запуск либо перезапуск для выполнения файла. Отслеживайте изменения в значениях Notify, Userinit и Shell ключей реестра, расположенных в HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\ и HKEY_LOCAL_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon. При входе пользователя в систему данные значения используются для загрузки соответствующих компонентов Windows. Злоумышленники могут внедрить полезную нагрузку, которая будет запущена после обработки легитимного значения. Отслеживайте изменения в ключе реестра Common Startup, расположенного в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\ и HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders. При входе пользователя в систему запускаются все файлы, хранящиеся в папке автозагрузки. Злоумышленники могут добавлять файлы так, чтобы обойти методы обнаружения, нацеленные на стандартные папки. Данный метод обнаружения отслеживает события с идентификаторами 4688 и 1, регистрирующие создание процессов, и событие с идентификатором 4657, регистрирующее модификацию ключей реестра. Аналитика 1. Изменение реестра путем модификации Userinit, Shell и Notify `source="WinEventLog:Security" EventCode="4657" (ObjectValueName="Userinit" OR ObjectValueName="Shell" OR ObjectValueName="Notify") OR source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13" (TargetObject="Userinit" OR TargetObject="Shell" OR TargetObject="Notify")` Аналитика 2. Изменение папки автозагрузки по умолчанию с помощью ключа реестра Common Startup `(source="WinEventLog:Security" EventCode="4657" ObjectValueName="Common Startup") OR (source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="13" TargetObject="Common Startup")`
DS0009	Процесс: Вызовы API ОС	Отслеживайте вызовы API, которые могут использоваться для скрытия ключей реестра, например Reghide . Находите и удаляйте или исправляйте скрытые вредоносные записи реестра, используя вызовы нативного API Windows и (или) такие инструменты, как Autoruns и RegDelNull. Другие вызовы API, относящиеся к изменению реестра: `RegOpenKeyExA`, `RegCreateKeyExA`, `RegDeleteKeyExA`, `RegDeleteValueExA`, `RegEnumKeyExA`, `RegEnumValueExA`. Примечание. Большинство инструментов EDR не поддерживают прямой мониторинг вызовов API, так как конечная система генерирует их слишком много. Однако они могут создавать оповещения или события на основе абстракции вызовов API ОС. Для отслеживания процедуры выполнения (включая вызовы API ОС) отдельного PE-бинарного файла можно использовать инструменты динамического анализа вредоносного ПО (то есть песочницы).
DS0009	Процесс: Создание процесса	Отслеживайте процессы и аргументы командной строки, которые могут использоваться для изменения, скрытия и (или) удаления информации из реестра (такие как reg.exe и regedit.exe). Аналитика отслеживает запуск процесса reg процессом cmd.exe, родительским процессом которого не является explorer.exe. Встроенная утилита reg.exe обеспечивает интерфейс командной строки для работы с реестром, позволяя выполнять запросы и модификации из оболочки, например cmd.exe. Если такие действия инициированы пользователем, как правило, родительским процессом cmd.exe является explorer.exe. Опытные пользователи и администраторы могут создавать сценарии, которые будут выполнять эти же действия, но, скорее всего, из другого дерева процессов. Следует создать список легитимных сценариев, запускаемых в фоновом режиме, чтобы исключить ложные срабатывания. В аналитике указаны идентификаторы событий для Sysmon (1: создание процесса) и журнала безопасности Windows (4688: создание нового процесса). Аналитика 1. Вмешательство в реестр с модификацией Userinit, Shell или Notify `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") ((CommandLine="reg" CommandLine="add" CommandLine="/d") OR ((CommandLine="Set-ItemProperty" OR CommandLine="New-ItemProperty") AND CommandLine="-value")) CommandLine="\Microsoft\Windows NT\CurrentVersion\Winlogon" (CommandLine="Userinit" OR CommandLine="Shell" OR CommandLine="Notify")` Аналитика 2. Изменение папки автозагрузки по умолчанию с помощью ключа реестра Common Startup `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") (CommandLine="reg" AND CommandLine="add" AND CommandLine="/d") OR (CommandLine="Set-ItemProperty" AND CommandLine="-value") CommandLine="Common Startup"` Аналитика 3. Вмешательство в реестр с созданием ключа SafeDllSearchMode со значением 0 `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688")((CommandLine="reg" CommandLine="add" CommandLine="/d") OR (CommandLine="Set-ItemProperty" CommandLine="-value")) (CommandLine="00000000" OR CommandLine="0") CommandLine="SafeDllSearchMode")`

Меры противодействия

ID	M1024	Название	Ограничение прав доступа к реестру	Описание	Проследите, чтобы для кустов реестра были установлены надлежащие разрешения, которые не позволяют пользователям производить изменения ключей системных компонентов, потенциально ведущие к повышению привилегий.

ID	Название	Описание
M1024	Ограничение прав доступа к реестру	Проследите, чтобы для кустов реестра были установлены надлежащие разрешения, которые не позволяют пользователям производить изменения ключей системных компонентов, потенциально ведущие к повышению привилегий.