Windows Hacker的餅乾屑

Windows Hacker的餅乾屑
Raymond

• Raymond
– 平常維護個人網站systw.net (牛的大腦)
– 管理過整個學校的系統與網路
– 開發過一些和資料分析有關的系統
– 曾參與過資安事件調查、資安健診、 DDoS演練等
– 當過兼任講師與資安教育訓練講師
– 興趣是網路安全，系統開發，異常偵測
2

3
正所謂
吃燒餅那有不掉芝麻
吃餅乾那有不掉屑

4
所以反走過必留下痕跡
windows駭客入侵後, 擔心精心策劃的手法不會被世人發現, 所以留下一些線索

5
客戶說:
我都有這麼多資安機制幫忙防禦了,
痕跡很重要嗎?

6
我個人的看法是
當駭客繞過資安機制時,
這些資安防禦設備就形同虛設

7
那到底
駭客有沒有辦法繞過這些資安機制?
我想大家心理都很清楚

8
一但駭客繞過這些防禦機制,
唯一能用的, 就只剩這些痕跡

9
當看到這些痕跡, 我們就要有
己被入侵的心理準備

10
以下盤點幾個駭客常留下來的痕跡

12
psexec.exe
nc.exe
駭客將武器大喇喇的放在受害電腦上,一定也是好意想提醒使用者好好學習這些工具

14
a.bat
1.bat
n.exe
p.exe
d.Vbs
…
大部份的駭客似乎都惜字如金,如果你周圍有朋友也是這樣的人,別得罪他,他可能也是駭客

16
grjufvxi.dll
cfwxfce.exe
…
為了避免固定檔名容易變成特徵,很多駭客的惡意程式會利用隨機檔名的技術

18
jusched.exe出現在temp
svchost.exe出現在programdata
駭客知道我們搞不清楚真正的執行檔應該在那,所以使用這招來混淆我們的視聽,
老實說,這招真的可以騙過大部份的資訊從業人員

20
svchost無父程序
駭客為了不想讓攻擊的源頭曝光,所以把父行程幹掉,讓追查線索中斷.
有些程序一定有父行程,如果消失了真的滿奇怪的

22
svchost.exe後面不是帶-k的參數
有些process執行時會讓程式固定帶特別的參數,
駭客應該是想和我們玩大家來找碴,故意準備一個異常參數的process,看我們能不能發現

24
曾經被建過at1排程
或at2,at3,at3,....
這大概是駭客有史以來最大的餅乾屑,
如果管理者確定這些排程不是自己人建的, 我只能和管理者說,恭喜你被入侵囉

26我只能說,駭客的細心值得肯定,但這樣駭客不就等於召告天下到此一遊嗎

28
反覆建立帳號
反覆刪除帳號
雖然很少見,但我猜大概剛建的帳號無法登入或權限太弱,所以還在測試中

30
4688記錄顯示:
user執行過scr
user執行過psexec
scr是利用反轉字元的攻擊手法,如果有人執行scr,就代表他己經執行了某支惡意的exe.
psexec更不用說,如果有人非法執行,那大概就是在做內網入侵了.

32
統計4688記錄顯示:
原本是a-> b
但出現a-> c ->b
每個process的父行程與要呼叫的下一個process, 正常來說每天的順序都會是一樣的.
如果那天發現順序不對,而且數量又極少,那恐佈的事情應該己經發生了

34
統計4648的記錄顯示:
帳號1天內嘗試登入多台主機
正常情況下,電腦不會去連另一台電腦,更何況突然嘗試想連進一堆電腦.
如果有發現某個帳號突然有這樣的行為,基本上也是淪陷了

36
統計4624的記錄顯示:
處理程序名稱出現32.dll,
而且只出現1次
大部份4624記錄的處理程序名稱會反覆出現很多次,表示這是日常作業中會用到的.如果
那天發現多了一個新的名稱,而且也只出現1,2次,建議可以調查一下這個程序從那來的

37
如果你的電腦發現這些寶貴的痕跡
記得說

38
感謝駭客的大恩大德
因為遇到好駭客給你線索做事件調查

39
除了上述這些
駭客其實還留下很多痕跡,
等著我們發現

40
你還有發現什麼駭客的痕跡嗎?
歡迎一起分享

Recommended