Экспертиза MaxPatrol SIEM

Отслеживайте события, связанные с файлами DLL/PE, особенно события создания этих бинарных файлов, а также загрузки DLL в память процессов. Отслеживайте незнакомые DLL и те, которые обычно не загружаются в память процессов.

Примечание. Эта аналитика отслеживает неподписанные образы, которые могут загружаться утилитой regsvr32, и отсеивает ложные срабатывания, связанные с выполнением бинарных файлов из каталогов Windows и Program Files.

Аналитика 5. Загрузка неподписанных образов

(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="7") (Image="C:\Windows\System32\regsvr32.exe" OR Image="C:\Windows\SysWOW64\regsvr32.exe") Signed=false ImageLoaded!="C:\Program Files" ImageLoaded!="C:\Windows\*"|stats values(ComputerName) as "Computer Name" count(ImageLoaded) as ImageLoadedCount by ImageLoaded

Рекомендуется также отслеживать аргументы, которые использовались до и после вызова regsvr32.exe, чтобы определить происхождение и назначение загружаемых сценариев или DLL-библиотек .

Отслеживайте создание сетевых соединений с недоверенными узлами.

Отслеживайте процессы для мониторинга запуска утилиты regsvr32.exe и ее аргументов. Сопоставляйте недавние вызовы утилиты regsvr32.exe с историей использования известных допустимых аргументов и загрузки допустимых файлов, чтобы выявить аномальную и потенциально вредоносную активность.

Примечание. Указаны идентификаторы событий для Sysmon (1: создание процесса) и журнала безопасности Windows (4688: создание нового процесса). Аналитика 1 — это обобщенная аналитика, который отслеживает подозрительное применение regsvr32.exe, в частности случаи, когда regsvr32.exe создает дочерние процессы, которые не являются его копиями. Маловероятно, что он обнаружит много таких процессов, но поскольку они могут быть частью безобидной активности, нужно сопоставлять результаты со штатными операциями, чтобы снизить количество ложных оповещений. Аналитика 2 отслеживает конкретный случай эксплуатации regsvr32.exe (техника Squiblydoo) с целью загрузки сценария COM непосредственно из интернета и его выполнения в обход списков разрешенных приложений. Он отслеживает события создания процесса regsvr32.exe, который загружает scrobj.dll через командную строку для запуска сценария COM. Аналитика 3 использует ту же логику, что и предыдущая, но с добавлением фильтров, которые отсеивают все события, зарегистрированные системой за последние 30 дней (учитываются события только за 1 день). Аналитика 4 отслеживает процессы, которые могли быть запущены через regsvr32, исключая ложные срабатывания от стандартных процессов, таких как werfault (отчеты об ошибках Windows).

Аналитика 1. Обобщенная аналитика для процессов regsvr32

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") regsvr32.exe | search ParentImage="*regsvr32.exe" AND Image!="regsvr32.exe"

Аналитика 2. Squiblydoo

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="*WinEventLog:Security" EventCode="4688") regsvr32.exe scrobj.dll | search Image="*regsvr32.exe"

Аналитика 3. Новые процессы с фильтром за последний месяц

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") earliest=-d@d latest=now() regsvr32.exe | search ParentImage="*regsvr32.exe" AND Image!="regsvr32.exe" | search NOT [ search (source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") earliest=-60d@d latest=-30d@d regsvr32.exe | search ParentImage="*regsvr32.exe" AND Image!="regsvr32.exe" | dedup CommandLine | fields CommandLine ]

Аналитика 4. Порождение дочерних процессов

(source="*WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") (ParentImage="C:\Windows\System32\regsvr32.exe" OR ParentImage="C:\Windows\SysWOW64\regsvr32.exe") AND Image!="C:\Windows\System32\regsvr32.exe" AND Image!="C:\Windows\SysWOW64\regsvr32.exe" AND Image!="C:\WINDOWS\System32\regsvr32.exe" AND Image!="C:\WINDOWS\SysWOW64\regsvr32.exe" AND Image!="C:\Windows\SysWOW64\WerFault.exe" AND Image!="C:\Windows\System32\wevtutil.exe" AND Image!="C:\Windows\System32\WerFault.exe"|stats values(ComputerName) as "Computer Name" values(ParentCommandLine) as "Parent Command Line" count(Image) as ImageCount by Image

Функция Microsoft Enhanced Mitigation Experience Toolkit (EMET) Attack Surface Reduction (ASR) может быть использована для блокировки regsvr32.exe с целью обхода контроля приложений . Используйте средства контроля приложений, такие как управление приложениями в Защитнике Windows, AppLocker или политики ограниченного использования программ (SRP), чтобы выявлять и при необходимости блокировать потенциально вредоносные программы, выполняемые через функциональность regsvr32 .