DFIR - HUNTING

.

miércoles, 5 de agosto de 2015

INCIDENT RESPONSE (II): ADQUISICIÓN DE DATOS CON CROWDRESPONSE


Buenas lectores,

Como en el anterior post vamos a continuar con la adquisición de datos, pero contando con una magnifica herramienta de nombre "CrowdResponse' pensada para ser utilizada por los equipos de respuesta ante incidentes.

CrodwResponse es una herramienta gratuita de la compañía CrowdStrike, desarrollada por Robin Keir. Robin tiene una larga historia de desarrollo de excelentes herramientas para la comunidad incluyendo las famosas SuperScan, BinText, FPIPE. 

Esta utilidad es en si un conjunto de herramientas que ayudarán a los analistas forenses a recopilar y analizar los datos. Está herramienta es modular y puede contener hasta 25 módulos diferentes.

Es compatible con todas las versiones de Windows (incluidos Windows 10 y Windows server 2012) su funcionamiento se basa en línea de comandos y se centra en la detección basándose en firmas, con un potente motor de análisis basado en YARA.

FUNCIONAMIENTO

Se compone de un archivo de configuración "config.txt" que contiene los sub-módulos que podemos ejecutar en la adquisición de datos y verificar en base a este fichero las posibles anomalías que se encuentren en el equipo a analizar.

Contenido del archivo config.txt


El archivo de configuración despliega los módulos a utilizar, todos los módulos son opcionales y llevan parámetros de configuración. Vamos a revisar algunos de ellos.

MODULO: @dirlist

Este es el módulo de directorio, está orientado al sistema de directorios y ficheros del sistema y permite las siguientes características:
  • -c  Verificar y mostrar información de firma digital
  • -e  Exclusión de ficheros o rutas utilizando un filtro de expresiones regulares
  • -f   Utilización de comodines. El valor predeterminado es "*. *"
  • -h  Calcular hashes SHA256
  • -i   Inclusión de ficheros o rutas utilizando un filtro de expresiones regulares
  • -m Calcular Hashes MD5
  •  -p Nivel de recursividad (sólo 0 = nivel superior, 1 = 1 nivel hacia abajo, etc.)
  • -q - Realizar control de sólo los primero 512 bytes del archivo
  • -r - Información de recursos de aplicaciones
  • -s - Lista recursiva
  • -t - Muestra el timestamp de archivos: creación, modificación, accesos
  • -x - Mostrar sólo procesos ejecutables de Windows (PE) 
  • -z   No realizar un hash de archivos mayores de un determinado tamaño en megabytes
  • <Dir> Ruta de archivos donde comenzar.
Veamos el siguiente ejemplo añadiendo la siguiente línea en el archivo config.txt y en concreto en el modulo @dirlist

@dirlist "%systemdrive%\users\" -c -h -m -r -s -t -z 100 -i "\\downloads\\.*\.(exe|dll)$"

Le estamos diciendo:

Busca en la carpeta 'users' y en concreto en la carpeta 'downloads' ficheros con extensión 'exe' y 'dll' (-i) con su firma digital (-c), calculando los hashes (-h y -m) con SHA256 y MD5  y obteniendo los recursos y fechas de creación, acceso y modificación de los ficheros y subdirectorios recusivos de la carpeta 'donwloads' (-r, -s, -t). El parámetro -z 100 es para indicar que no genere hashes de los archivos mayores de 100 megas.

A continuación y después de guardar el fichero 'config.txt' procedemos a ejecutar desde la línea de comandos la siguiente instrucción:

c:\>Crowdresponse.exe -i config.txt -o directorios.xml

Y este es el resultado:



MODULO: @pslist

Este módulo no es menos interesante. Permite trabajar con los procesos de memoria ram. Veamos sus características.

  • -c Verificar la firma digital del ejecutable que está en memoria.
  • -d Obtener línea de comando del proceso.
  • -e Obtener información de los archivos PE detallado para cada ejecutable del proceso
  • -m Realizar huellas (hashes MD5) de ejecutables.
  • -o Enumerar los módulos cargados para cada proceso
  • -v Determina los procesos 'svchost'.
  • -t Muestra el timestamp de archivos: creación, modificación, accesos
  • -i comprueba la inyección de procesos
Como en pasos anteriores vamos a añadir la siguiente línea:

@pslist -c -d -e -i -m -t

Que viene a decir que busque procesos en memoria con su firma digital (-c), la línea de comando del proceso (-d) , que obtenga información PE del ejecutable (-e), si tiene inyección en los procesos (-i), que calcule los hashes en MD5 (-m) y que muestre fechas de creación, acceso y modificación de los procesos (-t).

Volvemos a ejecutar el comando:

c:\>Crowdresponse.exe -i config.txt -o procesos.xml

Siendo este el resultado:



MODULO: @yara

YARA es una herramienta increíblemente útil orientada para identificar y clasificar malware.

Como muchos ya sabéis puede actuar sobre ficheros en el disco o en memoria y se ejecuta sobre un conjunto de reglas de patrones contra el objetivo que hemos de investigar.

El módulo YARA permite las siguientes características:

  • -a Analizar la memoria de todos los procesos en ejecución activos
  • -b Analizar archivos en disco de todos los procesos en ejecución actualmente activos
  • -v Descargar archivos de reglas YARA desde una URL
  • -i, -n Utilizar un filtro o expresión para incluir o excluir una expresión regular
  • -h Opción sólo para mostrar éxitos positivos
  • -o Analizar todos los archivos de los módulos cargados.
Al igual que en los módulos anteriores añadimos:

@yara -a -b -o

Es decir, analiza los procesos y ejecutables de memoria (-a, -b) y los módulos cargados de esos ejecutables (-o)

Por defecto dispone unas reglas ya incorporadas y que las cargará en el momento de leer el fichero 'config.txt'.

Volvemos a ejecutar el comando:

c:\>Crowdresponse.exe -i config.txt -o directorios_ficheros_procesos.xml

Siendo este el resultado:



Como decía anteriormente, Crowdresponse viene con una sección de reglas Yara donde podemos ampliar las cientos que hay en la comunidad o bien añadir las nuestras. Por otro lado podemos combinarlas o bien ajustarlas a la investigación que estemos haciendo.

CRconvert

Como hemos podido apreciar los resultados se hacen en ficheros XML y ya de por si es una muy buena opción para incluirlo en cualquier sistema, no obstante el conjunto de Crowdresponse incluye una utilidad que permite convertir el resultado del fichero XML en CSV o HTML.

CRconvert.exe -v -c -h -f salida.xml

El cual convertirá el fichero salida.xml a diversos ficheros en html según los módulos y reglas Yara que hayamos incluidos en el fichero config.txt





En resumen una muy buena herramienta que nos ayudará a buscar evidencias, también decir que hay muchos más módulos integrados e incorpora en su sistema modular muchas otras opciones como la reducción de prioridad de la CPU, la posibilidad de subir archivos de salida a través de SSL, y un mecanismo de autodestrucción que resuelven cuestiones como el tema de privacidad de datos cuando trabajamos en una empresa.

Utilidad indispensable para mi caja de herramientas.

Un saludo.

30 comentarios:

Gracias por tus escritos, son fascinantes, Probaré lo que publicas y si me permites, te platicaré lo que encontré en un caso que tengo de intercepción aquí en México.

This is exactly where Digital Marketing Services in India comes into perform, using efficient internet marketing services such as Search engine optimization, Link building, Email marketing etc. not just ensures that your market potential boosts multifold, it also signifies that your client base increases significantly too.

NAGAQQ | AGEN BANDARQ | BANDARQ ONLINE | ADUQ ONLINE | DOMINOQQ TERBAIK

Yang Merupakan Agen Bandarq, Domino 99, Dan Bandar Poker Online Terpercaya di asia hadir untuk anda semua dengan permainan permainan menarik dan bonus menarik untuk anda semua

Bonus yang diberikan NagaQQ :
* Bonus rollingan 0.5%,setiap senin di bagikannya
* Bonus Refferal 10% + 10%,seumur hidup
* Bonus Jackpot, yang dapat anda dapatkan dengan mudah
* Minimal Depo 15.000
* Minimal WD 20.000

Memegang Gelar atau title sebagai QQ Online Terbaik di masanya

Games Yang di Hadirkan NagaQQ :
* Poker Online
* BandarQ
* Domino99
* Bandar Poker
* Bandar66
* Sakong
* Capsa Susun
* AduQ
* Perang Bacarrat (New Game)

Tersedia Deposit Via pulsa :
Telkomsel & XL

Info Lebih lanjut Kunjungi :
Website : NAGAQQ
Facebook : NagaQQ Official
Kontakk : Info NagaQQ
linktree : Agen Judi Online
WHATSAPP : +855977509035
Line : Cs_nagaQQ
TELEGRAM : +855967014811


BACA JUGA BLOGSPORT KAMI YANG LAIN:
agen bandarq terbaik
Winner NagaQQ
Daftar NagaQQ
Agen Poker Online

Looking for React Native App development services in India or USA? Contact us now for economical and best React Native Mobile App services. We are the top rated React Native App Development Company in India.

Seeking top Offshore Web Application Development Company? Contact us now as we offer customized PHP, Asp dot Net & website development services in India & USA. Our team of UI/UX designers has an average of 8+ years of domain expertise in providing custom website development Services on the latest trends.

Best Pharmacy for Tramadol Cash on Delivery - Buy Tramadol 100mg / Ultram Tablets Online @cheap price. We offer Tramadol COD Online delivery at your doorstep within 3-4 days.

Buy Propecia Online

The eCommerce boom has opened doors for selling prescription drugs online, sometimes even without a prescription. Taking drugs, like TapenTadol, without prescription can have serious consequences like addiction, overdose, or even death. That’s why there needs to be some form of cautious observations when you are out there to buy Tapentadol online. Moreover, when you buy Tapentadol, cash on delivery is what you should prefer for reasons explained later.


Buy Artvigil Online

Explore the very best online products provided right here for the stress and anxiety, Sleep issues, SLEEP PROBLEMS, Insomnia & a lot more! Find out about their makes use of, dosages, unwanted effects & precautions and obtain them delivered at the doorstep. My Anxiety pills is the best Online Pharmacy throughout the world offering best online Medicines at affordable price with complete satisfaction expert services. The staff of MYANXIETYPILLS is definitely getting excited about help you together with your anxiety with the very best quality medications delivered immediately with faster & protected delivery service.

We are one of the leading bookkeeping and data management service providers in India. We always strive to provide top-grade solutions using advanced tools at affordable prices. Many Services provided by getvirtualsupport are below:

Online Bookkeeping Services in India
Data conversion services in India
Online Bookkeeping Services India
Data Entry Services in India
Virtual Assistant Services in India
Data Entry Services in India
Virtual Assistant Services India
Online Bookkepping Services
Virtual Assistant Services

Great Article! Thanks for sharing this types of article is very helpful for us! If you looking for cash for Scrap cars and free car removal than Cash for Car Today can help you.

Great Article! Thanks for sharing this types of article is very helpful for us! If you looking for Exterior Cleaning Services , Carpet Cleaning Services Brisbane OR Best Hand Car Washing Services In Brisbane than Quickcardetailing is best place to help you.

Online reputation management is beneficial for a wide variety of businesses. From corporate entities to start-ups, we cater to diverse demands. My reputation Vault offers the best Online reputation management services in India.

Image Removal Services from Google

Get the ideal place to buy tapentadol 100mg Online at most affordable cost with superpharmacyusa.com, here we offer the very best online Medicines at the Doorstep with total satisfaction services. Being truly a prescription medicine, it's difficult to Buy tapentadol Online without first consulting a medical professional. However, diagnosed with Narcolepsy once, your doctor offers you a prescription that may make it possible for you to buy tapentadol 100mg online.

Buy Modalert 200mg Online

Great Information, Thanks for Sharing with us...

We are the best online Pharmacy in USA offering Wide variety of Online Medicines for your Health & Wealth.

artvigil online
buy eszopiclone
modalert
buy modalert online
tapentadol cash on delivery

Nice Blog, Thanks For sharing With Us...

Superpharmacyusa is a best online Pharmacy in USA offering the best online Medicines at your doorstep with full satisfaction. We are top trusted pharmacy offering Tapentadol, Tramadol, Artvigil, Modafinil 200mg, Eszopiclone Online on COD @cheap price. Get Offer on Buy Tapentadol 100mg Online.

Tramadol 100mg Online
Buy Modafinil 200mg online
Buy Modalert 200mg online
Buy Artvigil 150mg online
Buy Propecia 1mg online

Buy Tramadol 100mg online, the strong medicine which can give relief from severe pain. But it must be taken only when the doctor prescribes the medicine. It is important that the patient follows all the instructions given by the doctor properly before he starts taking Tramadol.

Buy Tapentadol 100mg Online

Superb Information!
Thanks For Sharing...

If you want to buy Tramadol 100mg online or Cash on Delivery, visit us. We deliver hundreds of online meds at your doorstep with full satisfaction. So hurry, Buy Now!

Buy Tapentadol 100mg online

Best online pharmacy USA to order Zopiclone online, Tapentadol 100mg, Waklert 150mg online on COD. Best quality meds for like Eszopiclone, Tamiflu online at @cheap price.

Buy Zopiclone Online

Superb Information.
Thanks for sharing such information.

If you want to buy Online Medicines in USA? visit us, we deliver hundreds of online Medicines in USA at your doorstep with full satisfaction.

Order Tapentadol Online
Buy Tapentadol 100mg online
Buy Tapentadol Online
Tapentadol
Buy Tapentadol
Tapentadol 100mg
Buy Tapentadol Online
Tapentadol Cash on Delivery
Tapentadol

Thanks for sharing such information with us...

We'll suggest that you get sleeping pills USA on line from the reputable medicine vendor. Here you can Buy Zopiclone 7.5mg online or Zopiclone Cash on Delivery at your doorstep.

Order Zopiclone Online

Want to buy Online Medicines across the USA? Visit rxonlinesecure, here we deliver best quality of online medicines with full satisfaction. We deliver hundreds of online medicines at your doorstep.

Buy Tramadol Online
Buy Tramadol 100mg online
Buy Tramadol 225mg Online
Order Tramadol Online
Tramadol Cash on Delivery
Tramadol 100mg
Tramadol
Buy Tramadol Online
Buy Tramadol 100mg

Este comentario ha sido eliminado por el autor.
Este comentario ha sido eliminado por el autor.

Thanks for sharing Article!
Nive and information..

If you wan to buy Online Medicines in USA, visit rxonlinesecure, here we deliver best online meds across the USA at your doorstep with full satisfaction.

Buy Tramadol Online
Buy Tramadol 100mg online
Buy Tramadol 225mg Online
Order Tramadol Online
Tramadol Cash on Delivery
Tramadol 100mg
Tramadol
Buy Tramadol Online
Buy Tramadol 100mg
Buy Tapentadol Online COD
Buy Artvigil Online

Very Unique Article!
Thank You for Sharing This...

Looking to buy Zopiclone 7.5mg Online or cash on delivery then visit us. We deliver best quality of online Medicines across the USA at your doorstep with full satisfaction.

Order Zopiclone Online
Buy Zopiclone Online
Buy Zopiclone 7.5mg Online
Zopiclone Online
Zopiclone
Buy Zopiclone
Zopiclone 7.5mg
Order Zopiclone Online

Wondering how to buy clonazepam online? Get Clonazepam online cash on delivery without any prescription from the best online pharma store in USA.

High Profile Escorts in Goa


independent goa escorts
Muskaan Gupta is a best Escorts in Goa offering best Call girls services in Goa with full satisfaction services. So hurry, Book now!

Independent Escorts in Goa
High Profile Escorts in Goa
Escorts Services in Goa
Russian Escort Services
Housewife Escorts in Goa
Airhostess Escorts in Goa
College Girls Escorts in Goa

Análisis Forense en profundidad 2.0 - Nuevo Curso -

Buenas lectores, De nuevo y de la mano de @securizame llega una nueva entrega del curso "Análisis Forense en profundidad 2.0" ...