Техника на mitre.org

T1543: Создание или изменение системных процессов

Злоумышленники могут создавать или изменять процессы системного уровня для систематического выполнения полезной нагрузки с целью закрепления в системе. Когда операционные системы загружаются, они могут запускать процессы, выполняющие фоновые задачи в системе. В Windows и Linux такие системные процессы называются службами. В macOS процессы launchd, известные как демоны запуска и агенты запуска, запускаются для завершения инициализации системы и загрузки пользовательских параметров.

Для закрепления в системе злоумышленники могут устанавливать новые службы, демоны или агенты, которые могут быть настроены на выполнение при запуске или многократно через определенные интервалы времени. С теми же целями злоумышленники могут изменить существующие службы, демоны или агенты.

Службы, демоны или агенты могут быть созданы с привилегиями администратора, но выполняться с привилегиями root или SYSTEM. Злоумышленники могут использовать эту возможность для создания или изменения системных процессов с целью повышения привилегий.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

unix_mitre_attck_persistence: PT-CR-2631: Unix_OpenSSH_Binary_Modification: Процесс, не являющийся менеджером пакетов, изменил бинарный файл OpenSSH. Это может быть признаком действий злоумышленников с целью закрепиться в системе или получить доступ к учетным данным

Подтехники

Способы обнаружения

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Некоторые легитимные демоны запуска LaunchDaemons указывают на неподписанный код, которым могут воспользоваться злоумышленники. Если для параметра `RunAtLoad` демона запуска установлено значение true, проверьте, указывает ли параметр `Program` на подписанный код и соответствуют ли исполняемые файлы политике предприятия. Некоторые параметры являются взаимозаменяемыми, например `Program` и `ProgramArguments`, но использоваться должен только один .

ID	DS0032	Источник и компонент данных	Контейнер: Создание контейнера	Описание	Отслеживайте недавно созданные контейнеры, которые могут систематически запускать вредоносные полезные нагрузки с целью закрепления в системе или повышения привилегий.

ID	DS0024	Источник и компонент данных	Реестр Windows: Создание ключа реестра Windows	Описание	Отслеживайте создание ключей реестра, которые могут создать или изменить службы Windows для систематического выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе. Анализ 1. Создание ключа реестра HKLM\System\CurrentControlSet\Services `source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="12" TargetObject="HKLM\System\CurrentControlSet\Services"`

ID	DS0024	Источник и компонент данных	Реестр Windows: Изменение ключа реестра Windows	Описание	Отслеживайте изменения в записях реестра служб, которые не связаны с известным ПО, циклами выпуска исправлений и т. д. Данные служб хранятся в реестре в `HKLM\SYSTEM\CurrentControlSet\Services`. Изменение путей к бинарным файлам и нетипичное переключение запуска службы с ручного или отключенного режима на автоматический следует считать подозрительным. С помощью таких инструментов, как Sysinternals Autoruns, можно обнаружить изменения в системных службах, которые могут указывать на попытки закрепления в системе. Анализ 1. Изменение ключа реестра HKLM\System\CurrentControlSet\Services `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode IN (13, 14) EventType= "SetValue" TargetObject="HKLM\System\CurrentControlSet\Services" \| where RegistryKeyPath LIKE "%ImagePath%" OR RegistryKeyPath LIKE "%Type%" OR RegistryKeyPath LIKE "%DisplayName%" OR RegistryKeyPath LIKE "%Objectname%"`

ID	DS0022	Источник и компонент данных	Файл: Создание файла	Описание	Отслеживайте попытки добавления файлов в папку `/Library/LaunchDaemons/`. Демоны LaunchDaemons системы защищены с помощью SIP.

ID	DS0022	Источник и компонент данных	Файл: Изменение файла	Описание	Отслеживайте изменения в файлах, с помощью которых злоумышленники могут создать или изменить демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

ID	DS0027	Источник и компонент данных	Драйвер: Загрузка драйвера	Описание	Отслеживайте установку и загрузку новых драйверов служб (например, события Sysmon с идентификатором 6) вне циклов выпуска обновлений и исправлений известного ПО.

ID	DS0019	Источник и компонент данных	Служба: Создание службы	Описание	Отслеживайте недавно созданные службы, которые могут создавать или изменять демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

ID	DS0019	Источник и компонент данных	Служба: Изменения в службе	Описание	Отслеживайте службы на предмет изменений, внесенных в демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

ID	DS0009	Источник и компонент данных	Процесс: Вызовы API ОС	Описание	Отслеживайте вызовы API (такие как `CreateServiceW()`), с помощью которых можно создать или изменить службы Windows для систематического выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Отслеживайте запуск новых процессов, которые могут создавать или изменять демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

ID	Источник и компонент данных	Описание
DS0017	Команда: Выполнение команд	Некоторые легитимные демоны запуска LaunchDaemons указывают на неподписанный код, которым могут воспользоваться злоумышленники. Если для параметра `RunAtLoad` демона запуска установлено значение true, проверьте, указывает ли параметр `Program` на подписанный код и соответствуют ли исполняемые файлы политике предприятия. Некоторые параметры являются взаимозаменяемыми, например `Program` и `ProgramArguments`, но использоваться должен только один .
DS0032	Контейнер: Создание контейнера	Отслеживайте недавно созданные контейнеры, которые могут систематически запускать вредоносные полезные нагрузки с целью закрепления в системе или повышения привилегий.
DS0024	Реестр Windows: Создание ключа реестра Windows	Отслеживайте создание ключей реестра, которые могут создать или изменить службы Windows для систематического выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе. Анализ 1. Создание ключа реестра HKLM\System\CurrentControlSet\Services `source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="12" TargetObject="HKLM\System\CurrentControlSet\Services"`
DS0024	Реестр Windows: Изменение ключа реестра Windows	Отслеживайте изменения в записях реестра служб, которые не связаны с известным ПО, циклами выпуска исправлений и т. д. Данные служб хранятся в реестре в `HKLM\SYSTEM\CurrentControlSet\Services`. Изменение путей к бинарным файлам и нетипичное переключение запуска службы с ручного или отключенного режима на автоматический следует считать подозрительным. С помощью таких инструментов, как Sysinternals Autoruns, можно обнаружить изменения в системных службах, которые могут указывать на попытки закрепления в системе. Анализ 1. Изменение ключа реестра HKLM\System\CurrentControlSet\Services `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode IN (13, 14) EventType= "SetValue" TargetObject="HKLM\System\CurrentControlSet\Services" \| where RegistryKeyPath LIKE "%ImagePath%" OR RegistryKeyPath LIKE "%Type%" OR RegistryKeyPath LIKE "%DisplayName%" OR RegistryKeyPath LIKE "%Objectname%"`
DS0022	Файл: Создание файла	Отслеживайте попытки добавления файлов в папку `/Library/LaunchDaemons/`. Демоны LaunchDaemons системы защищены с помощью SIP.
DS0022	Файл: Изменение файла	Отслеживайте изменения в файлах, с помощью которых злоумышленники могут создать или изменить демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.
DS0027	Драйвер: Загрузка драйвера	Отслеживайте установку и загрузку новых драйверов служб (например, события Sysmon с идентификатором 6) вне циклов выпуска обновлений и исправлений известного ПО.
DS0019	Служба: Создание службы	Отслеживайте недавно созданные службы, которые могут создавать или изменять демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.
DS0019	Служба: Изменения в службе	Отслеживайте службы на предмет изменений, внесенных в демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.
DS0009	Процесс: Вызовы API ОС	Отслеживайте вызовы API (такие как `CreateServiceW()`), с помощью которых можно создать или изменить службы Windows для систематического выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.
DS0009	Процесс: Создание процесса	Отслеживайте запуск новых процессов, которые могут создавать или изменять демоны запуска для выполнения полезной нагрузки вредоносного ПО с целью закрепления в системе.

Меры противодействия

ID	M1018	Название	Управление учетными записями	Описание	Ограничьте доступ к утилитам, таким как docker, оставив его только для тех пользователей, которым он необходим, особенно если утилита docker используется в режиме rootful. В средах Kubernetes обеспечьте выдачу прав на размещение модулей только для тех пользователей, которым это необходимо.

ID	M1022	Название	Ограничение разрешений для файлов и каталогов	Описание	Ограничьте доступ на чтение/запись к файлам модулей службы systemd только для избранных привилегированных пользователей, которым необходимо управлять системными службами.

ID	M1026	Название	Управление привилегированными учетными записями	Описание	Создание и изменение файлов модулей службы systemd обычно разрешено администраторам, таким как пользователь Linux root и другие пользователи с привилегиями суперпользователя.

ID	M1028	Название	Изменение конфигурации ОС	Описание	Проследите, чтобы была включена функция Driver Signature Enforcement, чтобы запретить установку неподписанных драйверов.

ID	M1033	Название	Ограничение установки программного обеспечения	Описание	Ограничьте установку программ только в доверенных репозиториях и будьте осторожны с бесхозными пакетами.

ID	M1040	Название	Предотвращение некорректного поведения	Описание	Включите правила Attack Surface Reduction (ASR) в Windows 10, чтобы предотвратить запись приложением в систему подписанного уязвимого драйвера. В Windows 10 и 11 включите блок-лист уязвимых драйверов Microsoft, чтобы помочь в защите от драйверов сторонних разработчиков.

ID	M1045	Название	Подпись исполняемого кода	Описание	Обеспечьте регистрацию и выполнение только легитимно подписанных драйверов служб, где это возможно.

ID	M1047	Название	Аудит	Описание	Используйте инструменты аудита, способные обнаружить возможности злоупотребления правами доступа к папкам в системах, особенно при проверке изменений, вносимых в папки сторонними программами.

ID	M1054	Название	Изменение конфигурации ПО	Описание	По возможности принудительно используйте службы контейнера в режиме rootless, чтобы ограничить возможность повышения привилегий или вредоносного воздействия на хост, на котором запущен контейнер.

ID	Название	Описание
M1018	Управление учетными записями	Ограничьте доступ к утилитам, таким как docker, оставив его только для тех пользователей, которым он необходим, особенно если утилита docker используется в режиме rootful. В средах Kubernetes обеспечьте выдачу прав на размещение модулей только для тех пользователей, которым это необходимо.
M1022	Ограничение разрешений для файлов и каталогов	Ограничьте доступ на чтение/запись к файлам модулей службы systemd только для избранных привилегированных пользователей, которым необходимо управлять системными службами.
M1026	Управление привилегированными учетными записями	Создание и изменение файлов модулей службы systemd обычно разрешено администраторам, таким как пользователь Linux root и другие пользователи с привилегиями суперпользователя.
M1028	Изменение конфигурации ОС	Проследите, чтобы была включена функция Driver Signature Enforcement, чтобы запретить установку неподписанных драйверов.
M1033	Ограничение установки программного обеспечения	Ограничьте установку программ только в доверенных репозиториях и будьте осторожны с бесхозными пакетами.
M1040	Предотвращение некорректного поведения	Включите правила Attack Surface Reduction (ASR) в Windows 10, чтобы предотвратить запись приложением в систему подписанного уязвимого драйвера. В Windows 10 и 11 включите блок-лист уязвимых драйверов Microsoft, чтобы помочь в защите от драйверов сторонних разработчиков.
M1045	Подпись исполняемого кода	Обеспечьте регистрацию и выполнение только легитимно подписанных драйверов служб, где это возможно.
M1047	Аудит	Используйте инструменты аудита, способные обнаружить возможности злоупотребления правами доступа к папкам в системах, особенно при проверке изменений, вносимых в папки сторонними программами.
M1054	Изменение конфигурации ПО	По возможности принудительно используйте службы контейнера в режиме rootless, чтобы ограничить возможность повышения привилегий или вредоносного воздействия на хост, на котором запущен контейнер.