Gyanús Windows DLL-ek: Észlelés, eltérítés és védelem

Az utóbbi években a gyanús Windows DLL-ek kedvelt támadási vektorrá váltak . Nem csak a klasszikus EXE formátumú rosszindulatú programokról beszélünk , hanem látszólag legitim könyvtárakról is, amelyek beszivárognak a megbízható folyamatokba, álcázzák magukat a rendszerfájlok között, és sok biztonsági megoldás látókörén kívül esnek.

Ez a megugrás nem véletlen: az olyan technikák, mint a DLL-eltérítés, az oldalirányú betöltés és a DLL-befecskendezés pontosan azt használják ki, ahogyan a Windows keresi, betölti és újra felhasználja ezeket a megosztott könyvtárakat. Ehhez adódik még a mesterséges intelligencia motorok megjelenése, amelyek képesek mind az ilyen típusú fenyegetések észlelésére, mind elrejtésére, és máris olyan forgatókönyvet kapunk, amelyben a védők és a támadók egymás mellett léteznek, egyre kifinomultabb stratégiákat alkalmazva.

Mi az a DLL, és miért olyan jövedelmező a támadók számára?

Windows rendszerben a DLL (Dynamic Link Library) egy olyan fájl, amely végrehajtható kódot, függvényeket és erőforrásokat tartalmaz, amelyeket több program egyszerre újra felhasználhat . Szerepe hasonló a Unix rendszerek .so könyvtáraihoz : lehetővé teszi több alkalmazás számára, hogy ugyanazt a funkciót osszák meg a kód duplikálása nélkül, így memóriát és lemezterületet takarítanak meg.

A DLL-ek jellemzően .dll kiterjesztéssel végződnek , bár lehetnek .drv vagy más végrehajtható formátumúak is , sőt, egyes EXE-k a gyakorlatban akár hasonló funkciók konténerjeként is funkcionálhatnak. A végfelhasználó nem nyitja meg őket közvetlenül: maguk a rendszer vagy az alkalmazások töltik be őket, amikor szükséges, általában indításkor vagy végrehajtás közben.

Ennek közvetlen következménye, hogy egyetlen DLL-t több program is használhat egyszerre . Ha egy támadónak sikerül feltörnie ezen könyvtárak egyikét, vagy rosszindulatú kódot beillesztenie, a hatás megsokszorozódik: több megbízható folyamat is futtathatja ugyanazt a feltört könyvtárat anélkül, hogy bármilyen nyilvánvaló gyanút keltene.

A Windows több tucat kritikus DLL-t tartalmaz , amelyek elengedhetetlenek a rendszer működéséhez , és amelyek közül sok gyakori célpont a rosszindulatú programok elemzésében, valamint a kódbefecskendezési vagy obfuszkálási technikákban. Néhány a legfontosabbak közül:

• KERNEL32.dll: kezeli a memóriát, a fájlokat, a folyamatok létrehozását és a hozzáférést hardver.
• Advapi32.dll: a szolgáltatások regisztrációjához és adminisztrációjához kapcsolódó speciális funkciókat tartalmaz.
• User32.dll: kezeli a grafikus felületet, a gombokat, a görgetősávokat és a felhasználói eseményeket.
• Gdi32.dll: a képernyőn megjelenő grafikus elemek megjelenítésével és kezelésével foglalkozik.
• Ntdll.dll: interfészként működik a Windows kernelhez; általában közvetve, a KERNEL32.dll fájlon keresztül importálódik.
• WSock32.dll és Ws2_32.dllAlapvető hálózati funkciókat biztosítanak (aljzatok, kommunikáció).
• Wininet.dll: magas szintű hálózati funkciókat valósít meg (HTTP, FTP, NTP).

Amikor egy végrehajtható fájl közvetlenül importálja az Ntdll.dll fájlt nem dokumentált vagy alacsony szintű műveletek végrehajtásához , az gyakran arra utal, hogy speciális képességeket keresnek, például folyamatok elrejtését, biztonsági ellenőrzések megkerülését vagy a rendszer szokásosnál agresszívabb manipulálását.

DLL-eltérítés: A legitim személyazonosságának kijátszásának trükkje

A DLL-eltérítés lényege, hogy egy alkalmazást rávesznek egy rosszindulatú könyvtár betöltésére a legitim helyett , kihasználva a Windows útvonalfeloldási és keresési módját ezek után a könyvtárak után. Ez egy régóta fennálló módszer (a Windows 2000-es korszaka óta ismert), de továbbra is ugyanolyan elterjedt, mint valaha.

Lényegében a támadó egy olyan fájlt helyez el, amelynek neve megegyezik a program által várt DLL nevű fájllal, egy olyan helyen, amelyet a keresési sorrendben a hiteles könyvtár előtt kiértékelnek . Mivel a Windows alapértelmezés szerint nem mindig követeli meg az abszolút elérési utakat, vagy nem ellenőrzi a DLL hitelességét, az alkalmazás végül betölti a hamis másolatot, aktiválva a rosszindulatú kódot a feltört folyamat engedélyeivel.

A Microsoft rendszerekben a szabványos DLL-keresési sorrend attól függően változhat, hogy a Biztonságos DLL-keresési mód engedélyezve van-e vagy sem , de az egyszerűség kedvéért általában egy ehhez hasonló hierarchiát követ:

• Az alkalmazás indítási könyvtára.
• Rendszerkönyvtár (például C:\\Windows\\System32).
• 16 bites rendszerkönyvtár.
• Windows könyvtár.
• Aktuális munkakönyvtár.
• A System PATH környezeti változók könyvtárai.
• A felhasználó PATH környezeti változóinak könyvtárai.

Ha a biztonságos keresési mód le van tiltva, a felhasználó aktuális könyvtára feljebb kerülhet a listában , növelve annak kockázatát, hogy egy munkamappába helyezett DLL az eredeti rendszer DLL előtt töltődik be.

A támadás kulcsa abban rejlik, hogy sok alkalmazás nem adja meg a szükséges DLL-ek teljes elérési útját ; egyszerűen csak az „X.dll betöltését” kérik, a többit pedig a rendszerre delegálják. Ha egy kiberbűnözőnek sikerül a saját rosszindulatú X.dll-jét elhelyeznie az alkalmazás könyvtárában vagy máshol, a System32 előtt, a rendszer nem tudja könnyen megkülönböztetni az eredeti és a hamis verziót.

Így egy egyszerű DLL fájl képes volt katalizálni az amerikai kormányzat által elszenvedett egyik legsúlyosabb kibertámadást , amelyben egy legitim szolgáltató (SolarWinds) által aláírt DLL rosszindulatú tartalmat tartalmazott, amely lehetővé tette, hogy teljes hálózatok hónapokig észrevétlenül veszélybe kerüljenek.

DLL-eltérítési variánsok és kapcsolódó trükkök

A DLL-eltérítésen belül számos olyan változat létezik, amelyek a Windows belső mechanizmusait használják ki . Bár a cél mindig ugyanaz (egy rosszindulatú DLL beillesztése egy legitim folyamatba), az elérés módja kissé eltér.

IsmertDLL-ek manipulálása

A Windows egy listát tart fenn a KnownDLL-ekről, amelyek ismert és megbízható rendszerkönyvtárak . Amikor egy folyamat lekéri ezeket a DLL-eket, a betöltő egy speciális könyvtárban megkeresi azt, és közvetlenül a folyamat címtartományához rendeli.

Ezt a listát beállításkulcsok vezérlik. Ha egy támadónak sikerül módosítania a KnownDLL-ekhez kapcsolódó konfigurációkat , kizárhatja a rosszindulatú DLL-eket ebből a mechanizmusból, vagy manipulálhatja bizonyos könyvtárak feloldását, megnyitva az utat a váratlan helyettesítéseknek vagy betöltéseknek. A betöltött könyvtárak és az elavult hivatkozások azonosításához gyakran hasznos olyan segédprogramok használata, mint a ListDLL.

Oldalra töltő támadások a WinSxS-ben

A WinSxS (Windows Side-by-Side) mappa , amely jellemzően a C:\Windows\WinSxS mappában található, az összetevők és DLL-ek több verzióját tárolja. Kulcsfontosságú a frissítések, a biztonsági mentések és a különböző függvénytár-verziókkal való kompatibilitás kezeléséhez.

Sok alkalmazás WinSxS-t használ a DLL-verzióütközések elkerülésére , olyan manifest fájlokra támaszkodva, amelyek meghatározzák, hogy az egyes könyvtárak melyik verzióját töltsék be futásidőben. A probléma az, hogy ezek a manifest fájlok olyan metaadatokon alapulnak, amelyeket néha rosszindulatúan lehet manipulálni vagy kihasználni.

Friss kutatások kimutatták, hogy hamisított DLL-eket lehet beilleszteni a WinSxS-be , és bizonyos legitim bináris fájlokat betöltésre kényszeríteni a mappában lévő függőségek feloldásának módját kihasználva. Ez jelentősen kibővíti a rosszindulatú kódok futtatására használható bináris fájlok körét anélkül, hogy új futtatható fájlokat kellene feltölteni a rendszerre.

Ez a technika különösen veszélyes, mivel kihasználja a WinSxS mappában már jelen lévő legitim bináris fájlokat , gyakran elkerüli a klasszikus jogosultságeszkalációt, és kevesebb viselkedési zajt generál, növelve annak esélyét, hogy számos biztonsági megoldás észrevétlen marad.

Phantom DLL eltérítés

A Ghost DLL-ek eltérítése elavult vagy ritkán használt DLL-ekre támaszkodik, amelyeket bizonyos alkalmazások továbbra is megpróbálnak betölteni indításkor, annak ellenére, hogy nem feltétlenül szükségesek. Ez egyfajta örökség a múltból, amelyet sok program soha nem "tisztított meg" az inicializálási rutinjaiból.

Ha egy támadó azonosít egy ilyen elfelejtett DLL-t, egyszerűen létre kell hoznia egy azonos nevű fájlt, és el kell helyeznie egy magas prioritású keresési útvonalon . A program, mivel nem találja az eredetit, végül a rosszindulatú verziót fogja használni, amely további ellenőrzések nélkül betöltődik.

Gyanús DLL-ek statikus elemzése: mire kell figyelni végrehajtásuk nélkül

Ha gyanítjuk, hogy egy DLL kártékony lehet, két fő elemzési megközelítés létezik: statikus és dinamikus . A statikus elemzés magában foglalja az információk kinyerését a fájlból anélkül, hogy végrehajtanánk, míg a dinamikus elemzés arra összpontosít, hogy mit tesz valójában, amikor egy ellenőrzött környezetben betöltjük.

Gyanús DLL-ek esetén a statikus elemzés alapvető fontosságú a kezdeti kockázatértékeléshez . Lehetővé teszi a függőségek, a kitett függvények, a metaadatok, a belső struktúra és a csomagolás vagy obfuszkálás lehetséges jeleinek áttekintését, mindezt a potenciálisan veszélyes kód futtatása nélkül.

A klasszikus eszközök, mint a PEiD, a Dependency Walker és a PEview, továbbra is nagyon hasznosak az ilyen típusú áttekintésekhez. A PEiD segítségével például megvizsgálhatjuk a PE fejlécet, azonosíthatjuk a használt csomagolókat vagy tömörítőket, és listázhatjuk a fájl részeit.

Az első ellenőrzések egyike az importálási és exportálási táblázat áttekintése lesz . Itt láthatja, hogy a gyanús könyvtár mely DLL-ektől függ (például KERNEL32.dll, USER32.dll, MSVCRT.dll), és milyen konkrét függvényeket hív meg: fájlok írása (WriteFile), folyamatok kezelése, memóriakezelés, socketek megnyitása stb.

A Dependency Walker segítségével navigálhatsz a függőségi fában , láthatod, hogy mely DLL-ek töltődnek be, és mely függvények oldódnak fel kontextusban. Ha érzékeny függvényekhez irányuló hívásokat észlelsz (kódbefecskendezés, kritikus területeken történő beállításjegyzék-módosítások, váratlan kommunikáció), megemeli a riasztási szintet.

A PEview a maga részéről lehetővé teszi a fájl belső szerkezetének részletes vizsgálatát: fordítási időbélyeg, módosított szakaszok, importcím-táblázatok stb. Az időbélyeg ellenőrzése segíthet a DLL és az adott kampányok közötti összefüggések megállapításában, annak ellenőrzésében, hogy megegyezik-e ugyanazon támadó más elemeivel, vagy annak azonosításában, hogy egy nagyon friss bináris fájlról van-e szó, kevés nyilvános hivatkozással.

DLL-eltérítés kézi betöltése, végrehajtása és észlelése

DLL-ek Windows környezetben történő futtatásához vagy regisztrálásához olyan segédprogramokat használnak , mint a Regsvr32.exe és a Rundll32.exe . Az előbbi regisztrálja a DLL-t a rendszerben (például COM-komponensként), míg az utóbbi lehetővé teszi adott exportált függvények meghívását a parancssorból.

A támadók szkriptek (például VBScript vagy PowerShell ) segítségével automatizálhatják ezen eszközök használatát , integrálva azokat olyan kampányokba, amelyek USB- eszközöket , ütemezett feladatokat vagy Office-dokumentumokban található makrókat használnak fel rosszindulatú DLL-ek elindításához, különösebb felhasználói beavatkozás nélkül.

Ha egy adott számítógépen DLL-eltérítés gyanúja merül fel, a Sysinternals csomag Process Monitor (Procmon) nevű eszközének használata a gyakorlatban is hasznos lehet a kivizsgálásra . Ez az eszköz lehetővé teszi a fájlrendszer és a beállításjegyzék összes bemeneti/kimeneti műveletének valós idejű megtekintését.

A DLL-eltérítés észlelésének szokásos eljárása a Process Monitor segítségével a következő:

• Szűrés a potenciálisan érintett alkalmazás szerintígy csak az adott folyamathoz kapcsolódó műveleteket látod.
• Szűrő hozzáadása csak a megjelenítéshez fájlok, amelyek elérési útja .dll-lel végződik, a betöltött könyvtárakra összpontosítva.
• Alkalmazzon szűrőt ott, ahol az eredmény a következő: "NÉV NEM TALÁLHATÓ"Ez sikertelen betöltési kísérleteket vagy alternatív elérési utakat jelez, ahol ugyanazt a DLL-t a rendszerkönyvtárain kívül keresik.

Az események listája a rendszeren kívüli elérési utakon jelenik meg , ami általában egyértelmű jele annak, hogy egy alternatívát keresnek kevésbé ellenőrzött könyvtárakban. Ha az alkalmazás saját elérési útja szerint is szűr, akkor elkülönítheti a feloldott DLL-eket ugyanabból a könyvtárból, mint a végrehajtható fájlt, ami egy tipikus viselkedés, amelyet a keresési sorrend eltérítése kihasznál.

Miért olyan nehéz megkülönböztetni a tévesen pozitív és a veszélyes DLL-eket?

Egy valós üzleti környezetben gyakori, hogy a biztonsági megoldások riasztásokat generálnak a látszólag legitim folyamatokról és DLL-ekről . Klasszikus példa erre a kritikus folyamatok, például a winlogon.exe és a csrss.exe közötti szálak vagy interakciók látványa, ami gyanút kelthet, de gyakran egyszerűen csak a rendszer normál működését tükrözi.

Ahhoz, hogy finomítsd az ítélőképességedet és elkerüld a pánikot minden egyes riasztás felbukkanásakor, meg kell vizsgálnod a teljes kontextust : a fájl eredetét, hírnevét, digitális aláírását , gyanús névváltoztatásait, bináris méretét és szerkezetét, hálózati viselkedését, lemezműveleteit stb.

Az olyan esetekben, mint a winlogon.exe és a crss.exe közötti szálkezelési riasztás, célszerű áttekinteni az aktív folyamatokat, a DNS-lekérdezéseket, a lemezírásokat és a biztonsági eseményeket . Ha minden egy tipikus mintára utal, szokatlan kapcsolatok vagy módosítások nélkül, akkor jogos a téves riasztásként való besorolás, bár mindig ajánlott dokumentálni az elemzést.

A fő nehézség az, hogy egyre vékonyabb a határvonal egy legitim DLL és egy jól álcázott rosszindulatú DLL között , különösen akkor, ha a rendszerkönyvtárak obfuszkálásának, csomagolásának vagy eltérítésének fejlett technikáit alkalmazzák.

Mesterséges intelligencia használata gyanús DLL-ek észlelésére

Tekintettel erre a helyzetre, a biztonsági gyártók elkezdtek jelentős összegeket befektetni a DLL-elemzésre és az eltérítési technikákra szakosodott gépi tanulási modellekbe . Ezek a modellek nem csak klasszikus statikus mintákat keresnek, hanem számos közvetett jelet korrelálnak.

Erre példa a Kaspersky AI Technology Research Center által kifejlesztett modell a DLL-eltérítés észlelésére. A modell nem kizárólag a könyvtár tartalmát vizsgálja, hanem a kontextuális információkra összpontosít: a DLL és az azt betöltő futtatható fájl elérési útjára, a névváltozásokra, a belső szerkezetre, a méretre, a digitális aláírás integritására, a fájl hírnevére és így tovább.

Ezen modellek betanításához nagy mennyiségű, DLL-betöltési eseményekről származó adatot használnak fel, amelyeket belső elemző rendszerekből és a felhőalapú biztonsági hálózatokban (például a Kaspersky Security Networkben) részt vevő felhasználók által biztosított anonim telemetriából gyűjtenek. A címkézés konszolidált reputációs adatbázisokra támaszkodik.

Ezen modellek első verziói általában még pontatlanok, de a betanítás, a jellemzők finomhangolása és a címkehiba-keresés számos iterációja után nagyon magas sikerarányt érnek el, csökkentve a téves riasztásokat és javítva a DLL-eltérítéssel kapcsolatos finom minták azonosításának képességét.

A Kaspersky SIEM platformjának (Kaspersky Unified Monitoring and Analysis Platform) konkrét esetében a modell két lehetséges módon integrálható: az eseménykorrelációs motorba és a gyűjtő alrendszerbe . Az előbbiben csak azokat az eseményeket elemzi, amelyek már aktiválták a korrelációs szabályokat, így egy második réteget biztosít a gyors ellenőrzéshez az infrastruktúra túlterhelése nélkül. Az utóbbiban szélesebb körben vizsgálja felül az összes olyan DLL-betöltési eseményt, amely megfelel bizonyos kritériumoknak, ami ideális az átfogóbb retrospektív keresésekhez.

Más gyártók, mint például a Check Point, olyan speciális motorokat fejlesztettek ki, mint a DeepDLL, amelyeket integráltak a ThreatCloud AI ökoszisztémájukba . Ez a motor metaadatokat, támadási karakterláncokat és maguknak a DLL fájloknak a lefordított struktúráját vizsgálja, kereszthivatkozásokat készítve az információk és a beérkezés kontextusa (e-mail, webes letöltés, MSI telepítők, tömörített fájlok stb.) között.

A vállalat saját adatai szerint a DeepDLL közel 99,7%-os észlelési arányt ér el, nagyon kevés téves riasztással , még azokat a mintákat is képes azonosítani, amelyek nem rendelkeznek .dll kiterjesztéssel, de azzal egyenértékű belső struktúrával rendelkeznek. Szemléltető példa erre egy MSI telepítőbe ágyazott rosszindulatú DLL blokkolása, amelyet a letöltéskor észlelnek, mielőtt végrehajthatták volna.

Ami érdekes ezekben a mesterséges intelligencián alapuló megközelítésekben , az az, hogy idővel fejlődnek : minél több adatot gyűjtenek a fenyegetésekről és a jóindulatú viselkedésekről, annál finomítják a modelleket, és annál jobban alkalmazkodnak az új kitérési technikákhoz vagy a még nem dokumentált változatokhoz.

Hogyan csökkenthető a DLL-eltérítés kockázata Windows környezetben?

A DLL-eltérítés megakadályozásának felelőssége maguknál a szoftverfejlesztőknél kezdődik. Az egyik legjobb gyakorlat az, hogy az érzékeny DLL-ek esetében mindig abszolút elérési utat adjunk meg , ahelyett, hogy a rendszer alapértelmezett keresési sorrendjére hagyatkoznánk. Ez jelentősen csökkenti annak az esélyét, hogy egy rosszindulatú könyvtár bekerüljön a betöltési láncba.

A gyakorlatban azonban nem minden projekt követi a biztonságos kódolási irányelveket . Ezért a szervezeteknek ezt az első szintet egy mélyreható védelemmel kell kiegészíteniük, amely a következőket foglalja magában:

• Frissített víruskereső és EDRképes lemezen, memóriában és átvitel közben található DLL-ek elemzésére, beleértve a viselkedésalapú és mesterséges intelligencia alapú technikákat is.
• Speciális eszközök, mint pl DLLSPYÚgy tervezték, hogy felderítse a DLL-ek használatával kapcsolatos eltérítési és jogosultság-eszkalációs sebezhetőségeket.
• A támadási felület folyamatos monitorozásamind a végpontokon, mind a szervereken, hogy azonosítsák azokat az útvonalakat és bináris fájlokat, amelyeket kihasználhatnak az oldalirányú betöltés vagy az eltérítés módszerei.

Kritikus pont a személyzet adathalászattal és a pszichológiai manipulációval kapcsolatos képzése . Végső soron ahhoz, hogy egy rosszindulatú DLL kárt okozzon, valakinek be kell juttatnia az ökoszisztémába: megnyitni egy csalárd mellékletet, futtatni egy manipulált telepítőt, csatlakoztatni egy gyanús tartalmú USB-meghajtót stb.

Célszerű egyértelmű szabályzatokat megerősíteni, például egy jól kommunikált információbiztonsági szabályzatot , amely előírja a többtényezős hitelesítés használatát, és csatornák létrehozását, amelyeken keresztül a gyanús e-maileket vagy fájlokat a velük való interakció előtt jelenteni lehet egy referenciacsoportnak.

Harmadik fél és beszállítói környezetben a kockázat növekszik: nem minden partner tart fenn azonos szintű kiberbiztonságot . A beszállítói kockázatkezelési eszközök lehetővé teszik az ellátási lánc biztonsági helyzetének nyomon követését, a szabályozási keretrendszerekkel összhangban lévő kérdőívek indítását, valamint a korrekciós intézkedések előrehaladásának nyomon követését dinamikus kockázati pontszámok segítségével.

A tisztítóeszközök szerepe és a megelőző védelem

Fertőzés esetén léteznek kifejezetten a rendszeren már aktív kártevők eltávolítására tervezett segédprogramok , mint például a Microsoft kártevő-eltávolító eszköz (MSRT). Fontos megérteni, hogy ezek az eszközök nem helyettesítik az átfogó víruskereső programot.

Az MSRT például a vizsgálat időpontjában futó , széles körben elterjedt fenyegetések (vírusok, férgek, trójai programok) egy adott listájának észlelésére és eltávolítására összpontosít . Nem célja a rosszindulatú programok teljes spektrumának lefedése, az inaktív rosszindulatú szoftverek eltávolítása, illetve a kémprogramok vagy más, speciálisabb fenyegetések kezelése.

A javaslat egyértelmű: fertőzés után biztonsági mentésként használja ezeket a tisztítóeszközöket , de mindig tartson telepítve és naprakészen egy víruskereső vagy EDR terméket, hogy a kezdetektől fogva megakadályozza a rosszindulatú programok futtatását. Azt is tartsa szem előtt, hogy ha a rendszer már a víruskereső telepítése előtt fertőzött volt, akkor előfordulhat, hogy csak bizonyos rosszindulatú programokat észlel, amikor az eltávolító eszköz megpróbálja semlegesíteni azokat. A tisztítóeszközökkel és a kezdeti elemzéssel kapcsolatos gyakorlati útmutatókért hasznos lehet a tisztító- és elemzőeszközökkel kapcsolatos forrásokat tekinteni.

A védelmi mechanizmusok teljes ökoszisztémájának, a hagyományos víruskeresőktől a mesterséges intelligencia alapú motorokig, beleértve a SIEM-eket és a tisztítóeszközöket is, összehangoltan kell működnie , hogy minimalizálja a gyanús DLL-eket kihasználó támadók lehetőségeit.

Tekintettel az elmúlt években közzétett sebezhetőségek számára és a DLL-eltérítések diszkrétebb technikák (például WinSxS-visszaélések vagy ellátási lánc manipuláció) felé történő fejlődésére, elengedhetetlen a gyanús Windows DLL-eket kiemelt támadási vektorként kezelni : a működésük megértése, statikus és dinamikus elemzésük ismerete, a mesterséges intelligenciára való támaszkodás a finom minták észlelésében, valamint a velük kapcsolatos képzési és biztonsági szabályzatok megerősítése jelenti a különbséget egy egyszerű riasztás és egy elkerülhető, nagy hatású incidens között.