Zer0Kernel Security Community — 🔒 Информационная безопасность

Психологические триггеры и социальная инженерия​

• Срочность. «Ваш аккаунт будет заблокирован через 24 часа», «Платёж не прошёл — подтвердите немедленно». Цель — отключить критическое мышление.
  
• Авторитет. Письмо имитирует коммуникацию от руководства, службы безопасности, регулятора.
  
• Страх потерь. Угроза штрафа, увольнения, блокировки сервиса.
  
• Жадность. Уведомление о выигрыше, возврате средств, бонусе.
  
• Любопытство. «Посмотрите документ, который мы обсуждали», «Фото с мероприятия».
  

Проверка отправителя: адрес, домен, Display Name​

Как работает поведенческий детект на уровне ядра​

• Process notification callbacks (PsSetCreateProcessNotifyRoutineEx) — срабатывают при создании и завершении процессов.
  
• Thread notification callbacks (PsSetCreateThreadNotifyRoutine) — уведомляют о создании и завершении потоков.
  
• Image load callbacks (PsSetLoadImageNotifyRoutine) — вызываются при загрузке драйверов и DLL в адресное пространство процесса.
  

Векторы уклонения: что именно атакуют​

Обнуление массива коллбэков​

Удаление конкретного коллбэка по индексу​

Патчинг кода коллбэка​

Введение​

LOLBAS

Нажмите, чтобы раскрыть...

• как устроен каталог LOLBAS;
• как пользоваться карточками проекта;
• почему подписанный системный файл не всегда безопасен;
• как выглядят типичные атаки с LOLBins;
• как безопасно воспроизводить техники в лаборатории;
• какие события Windows и Sysmon собирать;
• как создавать правила обнаружения;
• как уменьшить поверхность атаки с помощью App Control, AppLocker и ASR.

Важно: все эксперименты следует проводить только на собственных компьютерах, тестовых виртуальных машинах или в инфраструктуре, на проверку которой получено разрешение.

Нажмите, чтобы раскрыть...

Что такое LOLBin​

• скачивать файлы по HTTP или HTTPS;
• загружать DLL;
• запускать JavaScript или VBScript;
• выполнять...

Архитектура AMSI и точки интеграции​

• PowerShell (начиная с версии 5.0) — сканирует каждый блок кода перед выполнением.
  
• Windows Script Host (wscript.exe, cscript.exe) — сканирует JScript и VBScript.
  
• VBA-макросы в Microsoft Office (начиная с Office 2016).
  
• User Account Control (UAC) — проверяет исполняемые файлы при повышении привилегий.
  
• .NET (начиная с .NET 4.8) — сканирует динамически загружаемые сборки.
  

Категории обхода и их детектируемые следы​

Патчинг amsi.dll в памяти процесса​

• ETW-провайдер...

Прямые системные вызовы: почему они обходят userland-хуки​

; Типичная заглушка в ntdll.dll (x64):
; 4C 8B D1       mov r10, rcx
; B8 XX XX 00 00 mov eax, <syscall_number>
; ...
; 0F 05          syscall

Что видит защитник​

• Процесс выполняет syscall из региона памяти, не принадлежащего ntdll.dll. ETW-провайдер Microsoft-Windows-Kernel-Audit-API-Calls и ядро фиксируют адрес возврата вызова.
  
• Последовательность вызовов нетипична для процесса. Например, notepad.exe вызывает NtCreateSection + NtMapViewOfSection +...

Изолированная лаборатория: виртуализация и сетевой карантин​

Статический анализ: что можно узнать без запуска​

Архитектура наблюдения EDR на Windows​

• Драйвер ядра (EDR_Driver.sys) — подписывается на уведомления ядра через callback-механизмы Windows. Например, PsSetCreateProcessNotifyRoutine сообщает драйверу о каждом создаваемом процессе: родительский PID, командная строка, путь к исполняемому файлу.
  
• Пользовательский процесс (EDR_Process.exe) — получает телеметрию от драйвера, устанавливает хуки в ntdll.dll целевых процессов и анализирует последовательности вызовов Windows API.
  
• Консоль управления (EDR_C2) — принимает алерты, позволяет аналитику изолировать хост от сети, загружать дампы памяти и выполнять команды для расследования.
  

Хуки в пользовательском пространстве​

OpenProcess → VirtualAllocEx → WriteProcessMemory → CreateRemoteThread

Callback-механизмы ядра​

• Создание/завершение процессов (PsSetCreateProcessNotifyRoutine)
  
• Создание/закрытие потоков (PsSetCreateThreadNotifyRoutine)
  
• Загрузка/выгрузка...

Почему полностью невидимое выполнение невозможно​

1. Выделить регион виртуальной памяти (или перенаправить существующий).
   
2. Записать в него машинные инструкции.
   
3. Установить флаг исполнения (PAGE_EXECUTE или производные).
   
4. Передать управление на этот адрес.
   

Ключевые артефакты в памяти процесса​

VAD-дерево и аномалии прав доступа​

Суть техники BYOVD​

Модель доверия, которую эксплуатирует BYOVD​

• Произвольная запись в память ядра — позволяет патчить структуры ядра, отключать механизмы защиты.
  
• Произвольное чтение памяти ядра — используется для извлечения чувствительных данных или обхода ASLR.
  
• Неконтролируемый доступ к MSR и портам ввода-вывода — даёт возможность манипулировать аппаратными регистрами.
  
• Уязвимости в IOCTL-обработчиках — пользовательский процесс отправляет специально сформированный запрос к драйверу и получает привилегированную операцию.
  

Как это выглядит с точки зрения защитника​

Почему одного метода детектирования недостаточно​

Сигнатурный анализ​

• Файл хешируется, и хеш сверяется с базой известных вредоносных образцов.
  
• Если точное совпадение не найдено, может применяться сравнение фрагментов кода: декомпилированный код подозрительного файла сопоставляется с фрагментами из базы. При превышении определённого порога совпадения файл помечается как вредоносный.
  

• Сигнатура работает только против уже известного вредоносного ПО. Новый образец, которого нет в базе, не будет обнаружен.
  
• Модификация файла — переупаковка, изменение порядка секций — меняет хеш и может обойти сигнатурную проверку.
  
• База сигнатур требует постоянного обновления. Между появлением нового образца и добавлением его в базу существует окно уязвимости.
  

Статический эвристический анализ​