ЛЕКЦИЯ ПО РЕЕСТРУ

Шаги исследования цифровых следов

Подготовки источников данных
Поиск следов компрометации
Следы запуска программного обеспечения
Поиск

Файлы реестра Windows

Структура реестра

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Корневой раздел

Вложенные разделы

Запись реестра

Параметр

Тип

Значение

Поиск следов компрометации

Инструмент работы с реестром Registry Explorer
https://ericzimmerman.github.io/#!index.md -> Registry Explorer

Следы сохранения и открытия файлов: MRU

Путь: NTUSER.DAT | Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidMRU
Подробней: https://www.sans.org/blog/opensavemru-and-lastvisitedmru/

Следы открытия файлов: MRU

В этом разделе представлена информация о файлах, которые

Следы открытия файлов: Recent Docs

Путь: NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

Следы открытия файлов: JumpLists

Путь: C:\%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

https://ericzimmerman.github.io/#!index.md -> JLEcmd

Следы открытия файлов: JumpLists

Команда – JLECmd.exe –f имя_объекта

Следы открытия файлов: JumpLists

Команда – JLECmd.exe –f имя_объекта --html путь_сохранения
(прим.

Следы открытия файлов: Recent

Путь: C:\%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Recent\

Веб-браузеры

Основной инструмент - https://www.nirsoft.net/utils/browsing_history_view.html

Веб-браузеры: IE/Edge

Путь: C:\%USERPROFILE%\AppData\Local\Microsoft\Windows\WebCache\WebCacheV*.dat
NB!

Веб-браузеры: Firefox

Путь: C:\%USERPROFILE%\AppData\Roaming\Mozilla\Firefox\Profiles\*.default\

Веб-браузеры: Chrome

Путь: C:\%USERPROFILE%\AppData\Local\Google\Chrome\User Data\Default\

Методы доставки вредоносного ПО

Одним из основных векторов доставки вредоносного программного обеспечения

Встройка URL в текст

Источник: Банк России: Основные типы компьютерных атак в

Техники обфускации URL

Пример такого рода ссылок:
http://youla.ru-yekaterinburg-samokaty-i-giroskutery-id@520966948

Техники обфускации URL

Техника 1 – HTTP-аутентификация
http://vk.com@cbr.ru
Символ at (@) в URL исторически

Техники обфускации URL

Техника 2 – IP-обфускация
IP-адрес может быть представлен не только

Гомоглифические домены

Гомоглифические домены – одна из наиболее интересных разновидностей атак с

USB-устройства

SYSTEM\CurrentControlSet\Enum\USBSTOR
SYSTEM\CurrentControlSet\Enum\USB
1) Определяет поставщика, модель и версию USB-устройства, подключенного к машине.
2) Определяет

USB-устройства

SYSTEM\CurrentControlSet\Enum\USB

USB-устройства

SYSTEM\CurrentControlSet\Enum\USBSTOR

USB-устройства – взаимодействие с пользователем

Шаг 1 – Смотрим GUID устройства в

USB-устройства – взаимодействие с пользователем

NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

SYSTEM\MountedDevices

Запуск команд через “Выполнить”

NTUSER.DAT|Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Если включен аудит реестра - https://4sysops.com/archives/audit-changes-in-the-windows-registry/ то в

Запуск команд через “Выполнить”

Документы открываемые в MS Office

NTUSER.DAT| Software\Microsoft\Office\версия\Word, Excel и т.п.\FileMRU и PlaceMRU

Пути набранные в Проводнике

NTUSER.DAT| Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths

Подсказки в Проводнике

NTUSER.DAT| Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery

Логины и пароли

Команда – lazagne.exe all > имя_файла.txt
https://github.com/AlessandroZ/LaZagne/releases

Подключенные сети

Microsoft\Windows NT\CurrentVersion\NetworkList
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Managed
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache

Подключенные сети

Microsoft\Windows NT\CurrentVersion\NetworkList
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Managed
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache

Подключенные сети

Microsoft\Windows NT\CurrentVersion\NetworkList
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Managed
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache

Подключения по RDP

C:\Windows\System32\winevt\Logs

Подключения по RDP

Подключения по RDP

Подключения по RDP

Подключения по RDP

Следы запуска программного обеспечения

WinPrefetch

Путь: C:\Windows\Prefetch
Утилита: https://www.nirsoft.net/utils/win_prefetch_view.html

UserAssist

Путь: NTUSER.DAT |
Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{CEBFF5CD-ACE2-4F4F-9178-9926F41749EA}\Count

ShimCache

Списки переходов, панель задач Windows 7-10 (список переходов) спроектирована таким образом,

Следы закрепления в системе

Ключи реестра RUN

Startup Folders

Запланированные задания

Популярный путь – создание запланированных заданий

Запланированные задания

Создание служб

Поиск следов горизонтального продвижения

RDP

RDP

См. ранее

Реконструкция BMC-кэша

Инструмент: https://github.com/ANSSI-FR/bmc-tools
Пример: https://codeby.net/threads/rdp-cache-forensics-na-storone-klienta.64854/

PsExec

PsExec

PsExec

Поиск следов доступа к информации

Получение реквизитов доступа

Следы исполнения программ, позволяющих получить доступ к аутентификационным данным

Следы создания

Создание новых аккаунтов

Следы создания профилей новых учетных записей

Следы аутентификации с использованием

Сканирование сетевой инфраструктуры

Следы исполнения программ, позволяющих осуществлять сканирование сетевой инфраструктуры

Следы создания файлов

Удаленный доступ

Следы создания / исполнения файлов, предназначенных для инсталляции программ для удаленного

Использование прикладного ПО

Следы запуска программного обеспечения, имеющегося на скомпрометированных серверах или рабочих

Дополнительные материалы

https://disk.yandex.ru/d/idU3lCef5JLbtQ