Behawioralne IOC: rejestr, sieć i artefakty plikowe

Indicators of Compromise (IOC) to artefakty kryminalistyczne wskazujące, że system został zaatakowany. Obejmują hashe plików, adresy IP, nazwy domen, klucze rejestru, mutexy oraz wzorce zachowania pojawiające się w ramach wymiany informacji o zagrożeniach.

Plikowe IOC obejmują hashe MD5/SHA-256 malware, ścieżki i nazwy upuszczonych plików oraz sygnatury zawartości plików (reguły YARA). IOC oparte na hashach są kruche — ponowna kompilacja zmienia hashe — dlatego należy uwzględniać także zachowanie i hashe fuzzy.

Najważniejsze lokalizacje mechanizmów trwałości to: HKCU\Run, HKLM\Run, XML zadań zaplanowanych w rejestrze, wpisy usług oraz wartości pomocniczych bibliotek DLL Winlogon. Dla każdego wykrytego rejestrowego IOC należy udokumentować pełną ścieżkę klucza, nazwę wartości i dane.

Należy zapisywać domeny C2, adresy IP, porty i wzorce URI. W przypadku C2 przez HTTPS należy uwzględnić ciągi User-Agent, nagłówki HTTP oraz odciski certyfikatów. Domeny DGA wymagają wykrywania opartego na wzorcach, a nie stałych IOC.

Malware tworzy nazwane mutexy, aby zapobiec podwójnej infekcji. Nazwa mutexu jest unikalnym IOC. Należy sprawdzić działające mutexy za pomocą Process Hacker lub Sysinternals Process Monitor, wyszukując konkretną nazwę mutexu używaną przez próbkę.

Wstrzykiwanie do procesu można wykryć, monitorując sekwencję wywołań API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread, pochodzącą od nieoczekiwanego procesu nadrzędnego. Ta sekwencja jest wiarygodnym behawioralnym IOC klasycznego wstrzykiwania.

Połączenia SMB z udziałami ADMIN$ lub IPC$, tworzenie usług przez PSExec, tworzenie procesów WMI za pośrednictwem WmiPrvSE.exe oraz wzorce uruchamiania narzędzi podobnych do PsExec są behawioralnymi IOC ruchu lateralnego.

Obiekty Indicator w STIX opakowują IOC w format czytelny maszynowo, zawierający składnię wzorca oraz pola valid_from i confidence. Należy udostępniać je za pośrednictwem TAXII lub platform threat intelligence, aby wykorzystywać IOC operacyjnie w całej organizacji.

OpenIOC firmy Mandiant wykorzystuje XML do łączenia wielu IOC w logiczne drzewa (AND/OR). IOC może wymagać jednoczesnego spełnienia następujących warunków: plik z określonym hashem AND obecność klucza rejestru AND połączenie sieciowe z określonym adresem IP — co ogranicza liczbę fałszywych alarmów.

IOC tracą aktualność. Domeny są przekierowywane do sinkhole, adresy IP są ponownie przydzielane, a hashe ulegają zmianie. Należy co miesiąc sprawdzać aktualność IOC. Przestarzałe IOC należy wycofywać, aktualizować liczbę trafień, a IOC pojawiające się w wielu incydentach eskalować do list blokowania o wysokim priorytecie.

IOC stają się hipotezami do threat huntingu. Należy przeszukiwać dzienniki za pomocą zapytań SIEM SPL/KQL w celu znalezienia dopasowań IOC w danych historycznych. Nawet pojedyncze dopasowanie sprzed kilku miesięcy może ujawnić czas przebywania atakujących w systemie, czyli okres, przez który pozostawali niewykryci.

Which type of IOC is most resilient to simple malware modifications like recompilation?

IOC obejmują pliki, wpisy rejestru, artefakty sieciowe, mutexy i wzorce zachowania. Właściwe dokumentowanie IOC, udostępnianie ich za pomocą STIX oraz zarządzanie ich cyklem życia przekształca surowe ustalenia z incydentów w wielokrotnie wykorzystywane informacje obronne.