Introduction à l’utilisation de COM par les menaces Windows

Résumé

Cette recherche examine comment les logiciels malveillants exploitent le modèle COM (Component Object Model) de Windows pour soutenir des actions malveillantes telles que le déplacement latéral, la persistance et l’évasion défensive. Elle explique comment le COM permet à différents langages de programmation d’interagir avec les services Windows et montre comment les acteurs malveillants dissimulent des fonctionnalités derrière des appels de vtable indirects via les interfaces COM. L’article inclut des études de cas techniques sur des familles de logiciels malveillants telles que Qakbot, Gh0stRAT, Attor et WarmCookie pour démontrer ces méthodes en pratique.

Enquête

L’enquête se concentre sur l’analyse de binaires riches en COM pour traduire des GUID opaques et des offsets de vtable en classes Windows significatives et appels de méthodes. Les chercheurs ont utilisé des outils tels que OleView.NET et ComView pour inspecter les enregistrements du registre et les définitions d’interfaces. Les études de cas ont montré qu’analyser les API d’activation COM peut révéler l’objectif réel et le comportement d’un échantillon de logiciel malveillant.

Atténuation

L’article est plus axé sur l’analyse et la détection que sur des mesures de durcissement spécifiques. Néanmoins, il suggère que surveiller les comportements d’activation COM inhabituels et auditer les entrées de registre liées aux CLSID et IID peut améliorer la visibilité. Une bonne compréhension des services exposés par le COM tels que BITS et le planificateur de tâches est également importante pour une surveillance efficace et la chasse aux menaces.

Réponse

Lorsqu’une activité COM suspecte est identifiée, les intervenants doivent analyser le processus initiant l’activation COM et déterminer quels CLSID et IID sont appelés. Il est également important de tracer le processus parent et de rechercher des tâches planifiées ou des travaux BITS liés. L’instrumentation dynamique et les outils de journalisation centrés sur le COM peuvent aider à reconstituer toute la chaîne d’activité API malveillante.

Exécution de simulation

Prérequis : Le contrôle préalable de télémétrie et de référence doit être réussi.

Justification : Cette section détaille l’exécution précise de la technique d’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer exactement la télémétrie attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un mauvais diagnostic.

• Narrative & Commandes d’attaque : L’adversaire a l’intention d’effectuer un mouvement latéral ou une manipulation de service à distance. Pour éviter une détection simple basée sur la signature qui recherche des modèles d’outils courants, ils utilisent un utilitaire spécialisé (simulé ici comme example.exe) et passent des arguments spécifiques qui déclenchent l’initialisation de la sécurité COM/DCOM. En passant CoCreateInstanceEx and CoInitializeSecurity comme arguments de ligne de commande, l’attaquant tente de configurer le contexte de sécurité pour une interface COM hors processus afin de faciliter l’interaction à distance.

• Script de test de régression :

  # REMARQUE : Ce script suppose que 'example.exe' existe dans System32 selon la logique de la règle.
  # Comme il s'agit d'un espace réservé, nous créerons un fichier factice pour simuler l'exécutable pour le test.
  
  $targetPath = "C:WindowsSystem32example.exe"
  
  # Créer un exécutable factice s'il n'existe pas à des fins de simulation
  if (-not (Test-Path $targetPath)) {
      Write-Host "Création d'un exécutable factice pour la simulation..."
      New-Item -Path $targetPath -ItemType File -Force
  }
  
  # Simuler l'exécution de la ligne de commande suspecte
  # Cette commande est conçue pour déclencher la sélection CommandLine de la règle de détection
  Start-Process -FilePath $targetPath -ArgumentList "--action CoCreateInstanceEx --setup CoInitializeSecurity" -Wait

• Commandes de nettoyage :

  # Supprimer l'exécutable factice créé pour la simulation
  Remove-Item -Path "C:WindowsSystem32example.exe" -Force