Verhaltensbasierte IOCs: Registry-, Netzwerk- und Dateiartefakte

Indicators of Compromise (IOCs) sind forensische Artefakte, die darauf hinweisen, dass ein System kompromittiert wurde. Dazu gehören Datei-Hashes, IP-Adressen, Domainnamen, Registrierungsschlüssel, Mutexes und Verhaltensmuster, die beim Austausch von Threat Intelligence auftreten.

Datei-IOCs umfassen MD5-/SHA-256-Hashes der Schadsoftware, Pfade und Namen abgelegter Dateien sowie Signaturen von Dateiinhalten (YARA-Regeln). Hash-basierte IOCs sind anfällig – eine Neukompilierung ändert die Hashes –, daher sollten Sie auch Verhaltens- und Fuzzy-Hashes berücksichtigen.

Wichtige Persistenzorte sind HKCU\Run, HKLM\Run, XML-Dateien geplanter Aufgaben in der Registrierung, Diensteinträge und Werte für Winlogon-Helfer-DLLs. Dokumentieren Sie für jeden gefundenen Registrierungs-IOC den vollständigen Schlüsselpfad, den Wertnamen und die Daten.

Erfassen Sie C2-Domains, IP-Adressen, Ports und URI-Muster. Fügen Sie für HTTPS-C2 User-Agent-Strings, HTTP-Header und Zertifikatsfingerabdrücke hinzu. DGA-Domains erfordern eine musterbasierte Erkennung statt fester IOCs.

Schadsoftware erstellt benannte Mutexes, um eine doppelte Infektion zu verhindern. Der Mutex-Name ist ein eindeutiger IOC. Überprüfen Sie laufende Mutexes mit Process Hacker oder Sysinternals Process Monitor auf den vom Sample verwendeten spezifischen Mutex-Namen.

Erkennen Sie Prozessinjektionen, indem Sie Sequenzen der API-Aufrufe OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread von einem unerwarteten übergeordneten Prozess aus überwachen. Diese Sequenz ist ein zuverlässiger verhaltensbasierter IOC für klassische Injektionen.

SMB-Verbindungen zu den Freigaben ADMIN$ oder IPC$, die Erstellung von PSExec-Diensten, die Erstellung von WMI-Prozessen über WmiPrvSE.exe und Ausführungsmuster von PSExec-ähnlichen Tools sind verhaltensbasierte IOCs für laterale Bewegung.

STIX-Indicator-Objekte kapseln IOCs in einem maschinenlesbaren Format mit Mustersyntax sowie den Feldern valid_from und confidence. Teilen Sie sie über TAXII oder Threat-Intelligence-Plattformen, um IOCs organisationsweit nutzbar zu machen.

OpenIOC von Mandiant verwendet XML, um mehrere IOCs in logischen (AND/OR-)Bäumen zu kombinieren. Ein IOC könnte erfordern: eine Datei mit einem bestimmten Hash UND einen vorhandenen Registrierungsschlüssel UND eine Netzwerkverbindung zu einer bestimmten IP – dadurch werden Fehlalarme reduziert.

IOCs veralten. Domains werden auf Sinkholes umgeleitet, IPs neu vergeben und Hashes verändert. Überprüfen Sie die Aktualität der IOCs monatlich. Entfernen Sie veraltete IOCs, aktualisieren Sie die Trefferzahlen und stufen Sie IOCs, die in mehreren Vorfällen auftreten, zu Blocklisten mit hoher Priorität hoch.

IOCs werden zu Hypothesen für die Suche. Durchsuchen Sie Protokolle mit SIEM-SPL-/KQL-Abfragen nach IOC-Treffern in historischen Daten. Selbst ein einzelner Treffer von vor mehreren Monaten kann die Verweildauer aufdecken – also wie lange Angreifer unentdeckt blieben.

Welche Art von IOC ist gegenüber einfachen Änderungen an Schadsoftware wie einer Neukompilierung am widerstandsfähigsten?

IOCs umfassen Dateien, Registrierungseinträge, Netzwerkartefakte, Mutexes und Verhaltensmuster. Eine sorgfältige IOC-Dokumentation, der Austausch über STIX und das Lifecycle-Management verwandeln rohe Erkenntnisse aus Sicherheitsvorfällen in wiederverwendbare defensive Threat Intelligence.