Техника на mitre.org

T1574.010: Недостатки разрешений для файлов служб

Злоумышленники могут запускать свою полезную нагрузку путем подмены исполняемых файлов, используемых службами. Злоумышленники могут использовать уязвимости в разрешениях служб Windows для замены бинарного файла, который запускается при старте службы. Процессы служб могут автоматически запускать бинарные файлы для выполнения своих функций или других задач. Если у бинарного файла или каталога, в котором он находится, установлены некорректные разрешения, пользовательского уровня разрешений может быть достаточно, чтобы перезаписать этот бинарный файл другим, после чего он будет выполнен исходным процессом. Если исходный процесс и поток имеют более высокий уровень разрешений, подставной бинарный файл тоже будет выполняться с повышенными привилегиями, в том числе SYSTEM.

Таким образом злоумышленники могут заменить легитимные бинарные файлы на вредоносные, чтобы выполнить код с более высоким уровнем разрешений. Если исполняемый процесс настроен на запуск в определенное время или при наступлении определенного события (например, при загрузке системы), эта техника также может быть применена для закрепления в системе.

Способы обнаружения

IDDS0022Источник и компонент данныхФайл: Изменение файлаОписание

Отслеживайте модификацию бинарных и исполняемых файлов служб за пределами обычных обновлений ПО и обновлений, запланированных организацией. Модификацией можно считать действия, связанные с переименованием файлов и их перемещением между каталогами.

IDDS0022Источник и компонент данныхФайл: Создание файлаОписание

Отслеживайте создание бинарных и исполняемых файлов служб за пределами обычных обновлений ПО и обновлений, запланированных организацией. Это также распространяется на перезапись файлов.

IDDS0009Источник и компонент данныхПроцесс: Создание процессаОписание

Отслеживайте запуск новых процессов, которые могут выполнять полезную нагрузку путем перехвата бинарных файлов, используемых службами.

IDDS0019Источник и компонент данныхСлужба: Метаданные службыОписание

Хеширование бинарных и исполняемых файлов служб помогает обнаружить подмену данных путем их сверки с сохраненными значениями.

Меры противодействия

IDM1052НазваниеКонтроль учетных записейОписание

Отключите повышение привилегий UAC для стандартных пользователей [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]. Чтобы автоматически отклонять запросы на повышение привилегий, добавьте "ConsentPromptBehaviorUser"=dword:00000000. По возможности включите обнаружение установщика для всех пользователей, добавив "EnableInstallerDetection"=dword:00000001. После этого при установке будет запрашиваться пароль и попытки установки будут регистрироваться в журнале. Чтобы отключить обнаружение установщика, вместо этого добавьте "EnableInstallerDetection"=dword:00000000. Это может предотвратить потенциальное повышение привилегий за счет эксплуатации в процессе обнаружения UAC программы установки, но позволит продолжить процесс установки без регистрации.

IDM1018НазваниеУправление учетными записямиОписание

Ограничьте привилегии пользователей и групп пользователей таким образом, чтобы только авторизованные администраторы могли вносить изменения в службы и пути к бинарным файлам служб. По возможности запретите выполнение кода из пользовательских каталогов, таких как каталоги загрузки файлов и временные каталоги.

IDM1047НазваниеАудитОписание

Используйте средства аудита, способные обнаружить возможности злоупотребления правами доступа к файловой системе в системах предприятия и устранить их. Такие наборы инструментов, как фреймворк PowerSploit, содержат модули PowerUp, с помощью которых можно исследовать системы на предмет слабых мест в разрешениях служебных файловых систем.