Послезавтра.

Всем привет.

Еще одна почемучка на злобу дня.

Алекс отлично помнил что вчера все тщательно проверил, особенно настройку текущего времени и все было ок. Он бы точно этого не пропустил бы, потому что от метки времени зависела все его работа, вся ее работа, все эти маршруты, обход по точкам, регистрация обьектов, прочее.

Все точно также как на его работе - синхронизация времени особенно важна для всех часов, всех комьпютеров, серверов, принтеров, всевозможных встреч и совещаний. Для всего. На время мало кто смотрит до тех пор пока все идет хорошо, но если... Но не сегодня ...

Алекс еще раз зашел в настройку профиля в приложении на смартфоне, протянул пальцем на опцию "Время устройства" и..., хм, увидел что время его IP-камеры отставало ровно на 2 часа. 

"Это как так!?" - подумал Алекс. - "Ровно 2 часа? Странно, но мой часовой пояс то выставлен правильно. Ок, где-то подхватила..." - решил он не долго думая. - "Сбегала небось на свой китайский сервер и забыла где сама находится. Ну что ж, поправим тебе значение вручную."

Он выбрал ручную установку, быстро все поправил и сохранил обновленный профиль. Камера весело фыркнула, прошла PTZ-калибровку, что-то нежным женским голосом произнесла по английски и заняла свое рабочее положение.

"Вот и чудно." - сказал Алекс. - "Ты работаешь, я отдыхаю." Хотя камера и имела высокочувствительный микрофон, все же на его реплику ответа не последовало. 

На следующий день Алекс запустил знакомое приложение, получил картинку снаружи онлайн, и следом решил проверить регистрацию событий за ночь. Тут его ожидал неприятный сюрприз - регистрация писалась сплошным видеопотоком с утра до вечера, и даже ночью. По логике приложения камера регистрировала все подряд, от комара до звезд на небе. Причем при просмотре было совершенно непонятно что и в какой момент времени послужило объектом для иницирования записи.

Расследование взлома компьютера с Windows, CTF #2.

Всем привет.

Вторая часть серии CyberDefenders.org представляет собой еще более увлекательную криминалистическую CTF. Как обычно, цель состоит в том, чтобы ответить на ряд типичных вопросов реагирования на инциденты, связанные с заражением вредоносным ПО.

Вам предоставляются следующие файлы, которые помогут в анализе:

- дамп необходимых лог-файлов в формате Json (для анализа будем использовать jq)

- ELK с графическим интерфейсом Kibana

Поэтoму на этот раз образ весит все 7 Гб. Скачали? Тогда начнем.

1) Процесс Threat Hunting обычно начинается с того, что аналитик выдвигает гипотезу о возможном векторе компрометации или методах, используемых злоумышленником. В этом сценарии ваша первоначальная гипотеза выглядит следующим образом: 

«Злоумышленник использовал механизм подписки WMI для обеспечения устойчивости в инфраструктуре». Проверьте эту гипотезу и найдите имя потребителя событий WMI, используемого злоумышленником для сохранения своей позиции.

Выполним запрос:

cat cyberpolygon-2020-data.json | jq 'select(._source.event_id=="5861")'

или отфильтруем в Кibana:

event_id:5861

Ответ:

PowerControl Consumer

Собираем статистику HyperV, v2.

Всем привет.

Как вы уже поняли с помощью Powershell можно легко получить информацию по всем виртуальным серверам которые управляются в System Center Virtual Machine Manager. Т.е. по новому наш скрипт с которым я чудил два месяца тому теперь может выглядеть совсем по другому.

Пусть $VM = 'SRV-S110-APP-01'

Тогда так получим общую информацию по серверу SRV-S110-APP-01:

Get-SCVirtualMachine -Name $VM | Format-List -Property Name, ComputerName, Description, HostName, OperatingSystem, CPUCount, Memory, MemoryAssignedMB, DynamicMemoryDemandMB,  @{label='ActualSizeVHD GB';expression={$_.TotalSize/1gb -as [int]}}, Status, Location

Так необходимую информацию по сетевому подключению:

Get-SCVirtualNetworkAdapter -VM $VM  | Format-List -Property VirtualNetwork, VlanID, IPv4Addresses, IPv4Subnets, MACAddress 

А так необходимую информацию по дискам:

Get-SCVirtualHardDisk -VM $VM | Format-List -Property VHDFormatType, VHDType, @{label='DiskSize GB';expression={$_.Size/1gb -as [int]}}, @{label='MaxSize GB';expression={$_.MaximumSize/1gb -as [int]}},Location

Как консолидировать в один файл ответы с этих трех запросов вы уже знаете.

Однако по дискам замечу, что Get-SCVirtualHardDisk отдает информацию только по одному виртуальному диску когда он разностный, т.е. по avhdx, а про vhdx-родителя при этом он почему то умалчивает.

Пока так.

Слава Украине!

Учет файловых shared folders.

Всем привет.

Джеффри Хикс в свое время публиковал статью по PowerShell, посвященную управлению папками на файловых серверах. В оригинале статья была разбита на две части: построение отчетов по файловому серверу и непосредственно управление файловыми шарами. В первой части были рассмотрено построение отчетов.

Вчера я провел аудит первой части, подумав, зачем мне изобретать велосипед, если такую задачу наверняка уже решали. Так ревизии подвергнулалсь первая часть в разрезе:

• список всех сетевых папок на компьютере;
• отчет о размерах высокоуровневых сетевых папок;
• отчет об использовании файловых шар;
• отчет который сгруппировал файловые шары по владельцу.

Собственно подход и продвижение по пунктам, даже в переводе (оригинал я уже не нашел), вы можете найти здесь. Мой результат после ревизии кода получился следующий:

$ServerName = 'Имя сервера'

$share = Get-WmiObject -Class Win32_Share -ComputerName $ServerName –filter "type=0 AND name like '%[^$]'"

$share.path

Отчет 1: про размеры высокоуровневых сетевых папок.

$sb={

$shares=Get-WmiObject -Class Win32_Share -filter "type=0 AND name like '%[^$]'"

foreach ($share in $shares) {

dir $share.path | where {$_.PSIscontainer} | `

foreach {

  $stats = dir $_.Fullname -recurse -errorAction 'SilentlyContinue' | where {-NOT $_.PSIscontainer} | `

  Measure-object -Property Length -sum  

  New-Object -TypeName PSObject -Property @{ 

    Computername=$env:Computername

    Path=$_.Name

    Fullname=$_.Fullname

    SizeMB=[math]::Round(($stats.sum/1MB),2)

    NumberFiles=$stats.count

    } #property

  } #foreach stats

  }

} #sb

$results = Invoke-Command -ScriptBlock $sb -ComputerName $ServerName -HideComputerName

$results | Format-Table Computername,Fullname,SizeMB,NumberFiles -autosize

Расследование взлома компьютера с Windows, CTF #1.

Всем привет.

Если вы интересуетесь информационной безопасностью, то наверняка знакомы с площадками для оттачивания хакерского мастерства, такими как Hack The Box,  а для специалистов компьютерной криминалистики существует альтернативная платформа CyberDefenders.  И я заглядываю туда время от времени, чтобы вспомнить былое.

Обычно дело обстоит так - по сценарию форензик кейса в исходящем трафике сети компании CyberCorp был выявлен ряд аномалий, что говорит о взломе. Специалисты ИБ успешно изолировали скомпрометированный хост от сети и собрали важные артефакты Windows. Артефакты лежат в архиве, который вам необходимо скачать. По результатам решения кейса нас, как специалистов по расcледованию инцидента, попросят ответить на ряд вопросов. 

По ходу нам предоставляются следующие файлы (артефакты Windows), которые подвергаются анализу:

Amcache.hve - файл реестра, содержит информацию о запускаемых приложениях.  Расположение файла Amcache: \%SystemRoot%\AppCompat\Programs\Amcache.hve

AppCompatCache.reg - информация из ключа куста реестра SYSTEM (C:\Windows\System32\configSystem):

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache\AppCompatCache

В этом ключе содержится артефакт Shimcache - эта функция обеспечивает совместимость старых приложений с более новыми версиями ОС. В нем хранится информация: путь к файлу, время последнего изменения и размер исполняемого файла.

Файлы реестра: default, SAM, SECURITY, software, system. Расположение файлов: C:\Windows\System32\config

Windows event logs (формат evtx). Расположение файлов: C:\Windows\System32\winevt\Logs

User Registry Hives - файл NTUSER.DAT содержит информацию, связанную с действием пользователя. Файлы NTUSER.DAT хранятся в каталоге: %userprofile%

Windows Prefetch - файл оптимизации запуска приложений. Файлы Prefetch могут содержать важную информацию, такую как: имя исполняемого файла, список динамических библиотек, используемых исполняемым файлом, количество запусков исполняемого файла и временную метку, которая указывает, когда приложение было запущено в последний раз. Расположение файлов: C:\Windows\Prefetch

Копия NTFS $MFT. MFT - системный файл ОС, содержит метаданные объекта файловой системы. MFT находится в корне разделов NTFS, выгрузить его можно инструментом FTK Imager.

OBJECTS.DATA - файл содержит постоянные классы WMI (Windows Management Instrumentation). Расположение файла: %SystemRoot%\System32\wbem\Repository

Рartial registry dump - файл образа RAM.

2 packet captures файла (формат pcapng) - сетевой трафик, полученный в результате мониторинга сети организации.