Экспертиза MaxPatrol SIEM

Отслеживайте контекстные данные запущенных процессов, такие как переменные окружения, имя образа, пользователь и владелец, которые могут использоваться для обхода контроля учетных записей с целью повышения привилегий процесса в системе.

Отслеживайте выполнение команд с аргументами, которые могут использоваться для обхода механизмов контроля учетных записей с целью повышения уровня привилегий в системе.

Отслеживайте запуск новых процессов, которые могут обходить механизмы контроля учетных записей с целью повышения уровня привилегий в системе, например eventvwr.exe и sdclt.exe.

Часто после компрометации системы злоумышленники пытаются отключить контроль учетных записей с целью повышения уровня привилегий. Для этого злоумышленники могут изменять ключи реестра, отвечающие за системные политики, с помощью reg.exe — легитимного инструмента Microsoft для работы с реестром через командную строку или сценарии. Таким образом злоумышленники смогут обойти контроль учетных записей, а затем повысить привилегии в скомпрометированной системе и продолжить ее эксплуатацию.

Аналитика 1. Обход механизмов контроля учетных записей

(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") IntegrityLevel=High|search (ParentCommandLine=""c:\windows\system32\dism.exe""".xml" AND Image!="c:\users\\appdata\local\temp\\dismhost.exe") OR ParentImage=c:\windows\system32\fodhelper.exe OR (CommandLine=""c:\windows\system32\wusa.exe"/quiet" AND User!=NOT_TRANSLATED AND CurrentDirectory=c:\windows\system32\ AND ParentImage!=c:\windows\explorer.exe) OR CommandLine="*.exe"cleanmgr.exe /autoclean" OR (ParentImage="c:\windows\*dccw.exe" AND Image!="c:\windows\system32\cttune.exe") OR Image="c:\program files\windows media player\osk.exe" OR ParentImage="c:\windows\system32\slui.exe"|eval PossibleTechniques=case(like(lower(ParentCommandLine),"%c:\windows\system32\dism.exe%"), "UACME #23", like(lower(Image),"c:\program files\windows media player\osk.exe"), "UACME #32", like(lower(ParentImage),"c:\windows\system32\fodhelper.exe"), "UACME #33", like(lower(CommandLine),"%.exe"%cleanmgr.exe /autoclean%"), "UACME #34", like(lower(Image),"c:\windows\system32\wusa.exe"), "UACME #36", like(lower(ParentImage),"c:\windows\%dccw.exe"), "UACME #37", like(lower(ParentImage),"c:\windows\system32\slui.exe"), "UACME #45")

Аналитика 2. Отключение контроля учетных записей

(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") ParentImage="C:\Windows\System32\cmd.exe" CommandLine="reg.exeHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SystemREG_DWORD /d 0*""

Некоторые методы обхода UAC полагаются на модификацию конкретных настроек реестра, доступных пользователю. Например:

• Метод обхода eventvwr.exe использует ключ реестра [HKEY_CURRENT_USER]\Software\Classes\mscfile\shell\open\command.
• Метод обхода sdclt.exe использует ключи реестра [HKEY_CURRENT_USER]\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe и [HKEY_CURRENT_USER]\Software\Classes\exefile\shell\runas\command\isolatedCommand. При анализе рекомендуется отслеживать несанкционированные изменения настроек реестра.

Техника обхода UAC интересна тем, что время от времени появляются новые методы ее применения, а старые реализации могут устраняться Microsoft (например, в обновлениях) в новых сборках Windows. Поэтому важно проверять, что способы обнаружения методов обхода UAC по-прежнему актуальны и отслеживают еще не устраненные методы.

Примечание. События Sysmon с идентификаторами 12 (создание/удаление ключа реестра), 13 (установка значения в реестре) и 14 (переименование ключа реестра и значения) можно использовать для создания методов обнаружения модификаций ключей реестра с целью обхода UAC.

Обновите Windows до последней версии и уровня исправлений, чтобы использовать новейшие меры защиты от обхода UAC.

Проверьте системы Windows на предмет распространенных уязвимостей, связанных с обходом UAC, чтобы знать о степени риска и устранить проблемы в случае необходимости.

Несмотря на существование техник обхода UAC, разумно использовать самый высокий уровень применения UAC, когда это возможно, и уменьшать возможности обхода, которые существуют за счет таких техник, как Перехват поиска DLL-библиотек.

Удалите пользователей из группы локальных администраторов в системах.