IOC comportamentali: registro, rete e artefatti dei file

Gli indicatori di compromissione (IOC) sono artefatti forensi che indicano la compromissione di un sistema. Includono hash di file, indirizzi IP, nomi di dominio, chiavi del Registro di sistema, mutex e pattern comportamentali che compaiono nella condivisione di threat intelligence.

Gli IOC relativi ai file includono gli hash MD5/SHA-256 del malware, i percorsi e i nomi dei file rilasciati e le firme del contenuto dei file (regole YARA). Gli IOC basati sugli hash sono fragili: una ricompilazione modifica gli hash; si concentri quindi anche sul comportamento e sugli hash fuzzy.

Posizioni chiave per la persistenza: HKCU\Run, HKLM\Run, XML delle attività pianificate nel Registro di sistema, voci dei servizi e valori delle DLL helper di Winlogon. Documenti per ogni IOC del Registro di sistema rilevato il percorso completo della chiave, il nome del valore e i relativi dati.

Registri i domini C2, gli indirizzi IP, le porte e i pattern degli URI. Includa le stringhe User-Agent, le intestazioni HTTP e le fingerprint dei certificati per il C2 HTTPS. I domini DGA richiedono un rilevamento basato sui pattern anziché IOC fissi.

Il malware crea mutex denominati per impedire una doppia infezione. Il nome del mutex è un IOC univoco. Verifichi i mutex in esecuzione con Process Hacker o Sysinternals Process Monitor, cercando il nome specifico del mutex utilizzato dal campione.

Per rilevare l'iniezione di processi, monitori in sequenza le catene di API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread provenienti da un processo padre imprevisto. Questa sequenza è un IOC comportamentale affidabile per l'iniezione classica.

Le connessioni SMB alle condivisioni ADMIN$ o IPC$, la creazione di servizi tramite PSExec, la creazione di processi WMI tramite WmiPrvSE.exe e i pattern di esecuzione di strumenti simili a PsExec sono IOC comportamentali di movimento laterale.

Gli oggetti Indicator di STIX racchiudono gli IOC in un formato leggibile dalle macchine, con sintassi dei pattern e i campi valid_from e confidence. Li condivida tramite TAXII o piattaforme di threat intelligence per rendere operativi gli IOC nell'intera organizzazione.

OpenIOC di Mandiant utilizza XML per combinare più IOC in alberi logici (AND/OR). Un IOC potrebbe richiedere: file con un hash specifico AND chiave del Registro di sistema presente AND connessione di rete a un IP specifico, riducendo così i falsi positivi.

Gli IOC scadono. I domini vengono reindirizzati a sinkhole, gli IP vengono riassegnati e gli hash cambiano. Verifichi ogni mese l'attualità degli IOC. Ritiri quelli obsoleti, aggiorni il conteggio dei rilevamenti e promuova nelle blocklist ad alta priorità gli IOC che compaiono in più incidenti.

Gli IOC diventano ipotesi di hunting. Cerchi nei log le corrispondenze con gli IOC utilizzando query SIEM SPL/KQL sui dati storici. Anche una singola corrispondenza risalente a mesi prima può rivelare il dwell time, ovvero per quanto tempo gli attaccanti siano rimasti inosservati.

Gli IOC comprendono file, voci del Registro di sistema, artefatti di rete, mutex e pattern comportamentali. Una documentazione corretta degli IOC, la condivisione tramite STIX e la gestione del ciclo di vita trasformano i risultati grezzi degli incidenti in threat intelligence difensiva riutilizzabile.