Advent of Cyber día 3

Objetivos:

• Utilización del MITRE ATT&CK
• Utilización de Atomic Red Team
• Creación de reglas de alerta y detección, según los resultados de las pruebas

Herramientas y conocimientos usados:

• Atomic Red Team
• Red Team vs Blue Team
• Cyber Kill Chain
• MITRE ATT&CK
• Powershell
• Sysmon

Comienzo

Algo importante que debemos tener en consideración antes de comenzar:
Nada es perfecto, incluyendo la detección. Por lo tanto debemos siempre apuntar a hacer más pequeñas estas brechas de seguridad.
Las brechas son muchas veces por las siguientes razones:

• Cada vez que encontramos brechas, el equipo rojo u atacantes seguirán buscando más.
• La línea entre normal y anómalo es muy delgada, lo que hace difícil crear reglas precisas que además permitan anomalías esperadas

Cyber Kill Chain

La cyber kill chain es un modelo desarrollado por Lockheed Martin que muestra las distintas etapas típicas de un ataque cibernético, está basado en conceptos militares pero se ha adaptado a la ciberseguridad.

Tabla con las etapas, descripción, ejemplos y acciones que puede tomar la defensa para mitigar.

MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), es un framework utilizado para entender las distintas técnicas y tácticas que los actores de amenaza realizan.
Es una recolección de tácticas, técnicas y procedimientos que han sido implementadas en la realidad, de este modo podemos entenderlas mejor.
Si bien es sólo una explicación teórica, es importante de comprender.

Atomic Red

Atomic Red Team es una biblioteca de casos de prueba que están mapeados al ATT&CK. Son casos sencillos que pueden ser ejecutados para detectar brechas de seguridad y cerrarlas. Además soporta automatización para ejecutar pruebas periódicas de forma automática.

T1566.001

Si buscamos T1566.001 en el sitio de MITRE, nos encontramos con lo siguiente:

Básicamente podemos entender que es un tipo de Spearphishing con un adjunto.
Esto también podemos verlo ejecutando el comando Invoke-AtomicTest T1566.001 -ShowDetails

La información que nos entrega este comando es:

• Técnica: El nombre del MITRE ATT&CK que será testeado
• Atomic Test Name: Nombre descriptivo de la prueba a ejecutar
• Atomic Test Number: Número asignado a la prueba
• Atomic Test GUID: Número ID único de la prueba
• Descripción: Detallada
• Attack Commands: Comandos que se ejecutaran durante la prueba, incluyendo quién los ejecuta y los privilegios requeridos, nos permite buscar los artefactos en el Windows Event Viewer
• Cleanup Commands: Comandos que se ejecutaran para revertir la máquina a su estado inicial
• Dependencias: Los recursos requeridos que deben estar presentes para ejecutar las pruebas

Primero debemos revisar si están los recursos necesarios: Invoke-AtomicTest T1566.001 -TestNumbers 1 -CheckPrereq

Ahora ejecutamos el comando:
Invoke-AtomicTest T1566.001 -TestNumber 1

Se ha ejecutado con éxito.
Ahora deberíamos revisar a través del System Monitor (de Windows) lo que ha ocurrido.
Primero correremos el cleanup de Atomic Invoke-AtomicTest T1566.001 -TestNumbers 1 -cleanup

Y nos iremos al Sysmon:

1. Event Viewer
2. Apllications and Services
3. Microsoft
4. Windows
5. Sysmon
6. Operational

Podemos ver ahí en el tercer evento la siguiente información:

• ID de proceso
• la línea de comando lanzada donde tenemos:
  • "powershell.exe" & {$url = 'http://localhost/PhishingAttachment.xlsm' Invoke-WebRequest -Uri $url -OutFile $env:TEMP\PhishingAttachment.xlsm}
  • Esto nos entrega lo que se ejecuta, la URL desde donde saldría el adjunto, la invocación de webrequest, la url y a dónde llega cuando se descarga

Con esta información podemos crear reglas de alerta.

Alertas

Hay distintos formatos de alerta incluyendo Yara, Sigma, Snort, etc.
Gracias a la información obtenida, podemos crear reglas en sigma.
Tenemos por ejemplo detalles importantes como WebRequest, la url y el nombre del archivo descargado.

title: Detect PowerShell Invoke-WebRequest and File Creation of PhishingAttachment.xlsm
	id: 1
	description: Detects the usage of Invoke-WebRequest to download PhishingAttachment.xlsm and the creation of the file
PhishingAttachment.xlsm.
	status: experimental
	author: TryHackMe
	logsource:
		category: process_creation
		product: windows
		service: sysmon
	detection:
		selection_invoke_webrequest:
			EventID: 1
			CommandLine|contains:
				- 'Invoke-WebRequest'
				-'http://localhost/PhishingAttachment.xlsm' 
				
			selection_file_creation:
			EventID: 11 # Sysmon Event ID for File Creation
			TargetFilename|endswith: '\PhishingAttachment.xlsm'
			
			condition: selection_invoke_webrequest or selection_file_creation
			falsepositives:
			- Legitimate administration activity may use Invoke-WebRequest, and legitimate Excel files may be created with similar names.
			level: high
			tags:
			- attack.t1071.001 # Web Service - Application Layer Protocol
			- attack.t1059.001 # PowerShell
			- attack.t1105 # Ingress Tool Transfer 
			- attack.t1566.001 # Spearphishing Attachment

En la parte de detection es donde ocurre la detección. Esta regla podemos importarla a nuestro sistema de detección.

Correremos un segundo ataque donde se realice un ransomware a través del shell

Preguntas

• ¿Cuál es la bandera que se encuentra en el archivo .txt, que está en el mismo directorio del artefacto PhishingAttachment.xslm?
  • Debemos navegar al lugar de origen que obtenemos al revisar los detalles en el Sysmon
• ¿Qué ID de ATT&CK sería nuestro punto de interés?
  • Buscar en el sitio de MITRE
• ¿Cuál es la sub ID que se enfoca en Windows Command Shell?
  • En el ID anterior que buscamos en MITRE, podemos revisar en la parte de la izquierda donde está. Tenemos el formato TXXXX.subID
• ¿Cuál es el nombre de la técnica Atómica a probar?
  • Podemos obtenerla con la bandera -ShowDetails de Atomic
• ¿Cuál es el nombre del archivo usado en la prueba?
  • En el mismo -ShowDetails está la respuesta del archivo
• ¿Cuál es la bandera que encontramos si realizamos la prueba?
  • Realizar la prueba y buscar el archivo :)

Con esto hemos completado el día 4

Por cierto... la bandera la podemos ingresar en Cyberchef y nos entrega un mensajito acerca de nuestro personaje glitch.

Procedemos al Advent of Cyber día 5