Снова пропустили момент запуска фишингового вложения?

Снова пропустили момент запуска фишингового вложения? 📩

А что? Бухгалтерша уверена, что это был «счет на оплату» от проверенного банка. Пора уже научить SIEM-системы предупреждать вас об аномалиях, связанных с запуском вредоносных почтовых вложений!

Делимся с вами несколькими идеями для правил корелляции. Это первая часть. Скоро опубликуем еще 😉

1️⃣ Злоумышленники могут злоупотреблять двойным расширением в имени файла как средством маскировки настоящего типа файла.

Такие файлы часто используются во время фишинговых рассылок. Рекомендуется мониторить события запуска процесса (Windows 4688, Sysmon 1), в которых имя процесса заканчивается двойным расширением. В таких событиях сначала указываются популярные безобидные форматы файлов:

.doc, .docx, .docm, .dot, .htm, .html, .odt, .pdf, .rtf, .txt, .xml, .csv, .xls, .xlsx, .xlsm, .zip, .zipx, .rar, .jar, .tar, .tar-gz, .tgz, .gz, .gzip, .7z, .pps, .ppsx, .ppt, .pptm, .pptx, .jpg, .jpeg, .gif, .png, .gif, .bmp, .raw, .tiff, .psd, .heif, .mp4, .mov, .wmv, .avi, .flv, .swf, .mkv
Code language: plaintext (plaintext)

А затем — расширение исполняемого файла (.exe, .scr, .com), например: Счет_на_оплату_465937.doc.exe.

Пример regex-фильтра:

\.(doc|docx|docm|dot|htm|html|odt|pdf|rtf|txt|xml|csv|xls|xlsx|xlsm|zip|zipx|rar|jar|tar|tar-gz|tgz|gz|gzip|7z|pps|ppsx|ppt|pptm|pptx|jpg|jpeg|gif|png|gif|bmp|raw|tiff|psd|heif|mp4|mov|wmv|avi|flv|swf|mkv)\.(exe|scr|com)$
Code language: plaintext (plaintext)

2️⃣ Выявлять подозрительные исходящие соединения от приложений Microsoft Office можно на основе событий Windows 5156 или Sysmon 3 с destination-портом 445, от имени процессов:

"winword.exe", "excel.exe", "powerpnt.exe", "visio.exe", "mspub.exe", "eqnedt32.exe", "outlook.exe"
Code language: plaintext (plaintext)

3️⃣ Полезно обращать внимание на открытие пользователем документов Microsoft Offiсe с макросом, а также мониторить связку событий запуска процесса приложения Microsoft Offiсe (Windows 4688, Sysmon 1; процессы: "winword.exe", "excel.exe", "powerpnt.exe", "msaccess.exe", "onenote.exe", "outlook.exe", "visio.exe", "winproj.exe").

И загрузки с помощью этого процесса библиотеки VBE7 (Sysmon 7; ImageLoaded = VBE7.DLL).

4️⃣ Атакующие могут отправить вредоносный документ в мессенджер, поэтому рекомендуется выявлять запуск процесса от родительского процесса мессенджера на основе событий Windows 4688, Sysmon 1 с родительскими процессами ParentProcessName:

"skype.exe", "telegram.exe","whatsapp.exe", "teams.exe", "lync.exe"
 Code language: plaintext (plaintext)

С разными значениями в полях ParentProcessName и NewProcessName.

5️⃣ Выявлять подозрительную последовательность запуска процесса приложением Microsoft Office можно на основе событий запуска процесса *.exe Windows 4688 Sysmon 1 с родительскими процессами ParentProcessName (“winword.exe”, “excel.exe”, “powerpnt.exe”, “visio.exe”, “mspub.exe”, “eqnedt32.exe”, “outlook.exe”, “acrord32.exe”) с разными значениями в полях ParentProcessName и NewProcessName.

Исключения для NewProcessName:

"winword.exe", "excel.exe", "powerpnt.exe", "eqnedt32.exe", "outlook.exe", "msosync.exe", "chrome.exe", "firefox.exe", "msedge.exe", "launcher.exe", "browser.exe", "acrord32.exe", "acrobat.exe", "rdrcef.exe", "adobearm.exe", "splwow64.exe", "visio.exe".
Code language: plaintext (plaintext)

6️⃣ Рекомендуем выявлять создание исполняемых файлов офисными программами:

• события создания процесса (Windows 4688, Sysmon 1);

• с именами Image: "winword.exe", "excel.exe", "powerpnt.exe", "visio.exe", "mspub.exe", "eqnedt32.exe", "outlook.exe", "msaccess.exe";

• расширение TargetFilename:

.exe, .bat, .com, .cmd, .dll, .cpl, .msi, .sys, .scr, .ps1, .hta
Code language: plaintext (plaintext)

7️⃣ Офисная программа загружает DLL-библиотеку COM-объекта Internet Explorer (ieproxy.dll):

• события Sysmon 7;

• с именами Image: “winword.exe”, “excel.exe”, “powerpnt.exe”, “visio.exe”, “mspub.exe”, “eqnedt32.exe”, “outlook.exe”, “msaccess.exe”.

• значение “ieproxy.dll” в поле ImageLoaded.

 

#tips #siem #detect
@ptescalator