应急响应—红队维权处置

一、实验背景

攻击者在拿下目标主机的控制权后，一般会进行一系列维持权限的操作，达到长久控制目标主机的目的。维权操作可能是植入后门程序，修改计划任务，定时任务，启动项和注册表等。

二、应急工具

这里只是一个推荐，大佬可以直接手工，锻炼自身能力

1.火绒安全、火绒剑

2.everything

3.D盾

4.PCHunter

三、排查思路

首先我们拿到被攻击的主机，看到有挑衅性质的弹窗，关闭之后又会重新弹出来。看到这种现象，猜测有可能是通过计划任务启动，或者是恶意进程自身存在拉起进程的功能。

1.通过查看任务管理器来确定运行着的异常进程。打开文件所在位置，查看文件修改时间，从而确定投毒时间，方便后续检查日志文件。

2.查看文件所在位置，发现文件被隐藏了。使用PCHunter查看隐藏文件，定位到fontdrvhost.exe文件，利用PCHunter去掉只读、隐藏和系统属性，就可以在文件夹查看到该文件了

3.提取该文件的md5值，放到微步中查，发现是可疑后门

4.结束该异常进程，弹窗消失，但是过了一段时间又弹出来了，猜测是因为计划任务设置了每分钟启动一次，查看计划任务，发现没有名为fontdrvhost的计划任务，那么有可能是进行了隐藏

隐藏计划任务我也是第一次听说，查了一下，有两种方式来查看隐藏任务：

方式一：在C:\Windows\System32\Tasks下查找是否存在恶意计划任务配置

方式二：

在以下注册表中查找，可以直接关键词查找，防止遗漏

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree

5.攻击者攻击进来后，一般都会添加账号来进行维权操作。查看火绒安全日志，发现有创建隐藏账户的记录

输入lusrmgr.msc，查看用户和组，发现确实存在admin$这个隐藏账号

或者通过注册表查看，这里注意：需要给SAM完全控制的权限才能查看到用户

5.使用火绒排查异常服务项和计划任务，发现GoogleUpdate.exe，尝试运行（实际情况下一定不要直接运行，使用md5放到微步里搜一下），发现也会出现弹窗，除了图标不同外，和fontdrvhost.exe一样

6.其他项排查

映像劫持排查；驱动排查；网络排查；自启动文件夹

四、处置工作

1.删除隐藏用户

2.结束异常进程，删除对应文件，为了防止清除不完全，建议使用everything排查一下，别误删漏删

3.删除异常计划任务和服务项

4.删除注册表中排查出来的内容

五、总结

最近做了几个应急实验，各种类型的，无论是勒索、挖矿、rootkit还是这次的维权处置，我发现基本排查思路都是一致的，但是自己做起来仍然会有各种问题。如何确定异常进程，如何通过日志溯源，如何使用各种各样的工具，都需要慢慢积累经验，有了经验才能在排查过程中更快速、不遗漏的清除木马程序和溯源。