ادامه..... 🔍 Windows Security Event ID 4688 شرط Alert: CommandLine شامل "certutil" AND ("urlcache" OR "decode" OR "http") یه توصیه عملی: اگه certutil در سازمان شما برای مدیریت گواهی استفاده نمیشه (که در اکثر سازمانها اینطوره)، هر بار که این فرآیند روی هر Endpoint ای اجرا بشه، باید بهعنوان ناهنجاری بررسی بشه. ۵. Containment فوری ━━━━━━━━━━━━━━━━━━━━━ اگه شواهد آلودگی دیدید، این مراحل رو به ترتیب انجام بدید: گام ۱ — پیدا کردن سیستمهای آلوده در کل شبکه: Process = certutil.exe AND CommandLine CONTAINS "-urlcache" این Query رو روی EDR یا SIEM خودتون اجرا کنید. گام ۲ — ایزوله فوری (بدون خاموش کردن سیستم): Disable-NetAdapter -Name "*" -Confirm:$false خاموش نکنید — Memory Dump قبلاً باید گرفته بشه. گام ۳ — پیدا کردن فایل دانلودشده: Get-ChildItem "$env:TEMP" -Recurse | Where-Object { $_.Extension -match "\.(exe|dll|ps1|bat|vbs)" } | Select-Object FullName, CreationTime گام ۴ — بررسی Alternate Data Stream: Get-Item C:\*.* -Stream * 2>$null | Where-Object Stream -ne ':$DATA' گام ۵ — متوقف کردن فرآیند: Get-Process | Where-Object {$_.Name -eq "certutil"} | Stop-Process -Force گام ۶ — بلاک کردن دسترسی شبکه برای certutil: New-NetFirewallRule -DisplayName "Block Certutil Outbound" -Direction Outbound -Program "C:\Windows\System32\certutil.exe" ` -Action Block ━━━━━━━━━━━━━━━━━━━━ ۶. سختسازی و اصلاح این اقدامات رو توصیه میکنم انجام بدید : ▸ محدود کردن certutil با WDAC: اگه certutil در سازمانتون برای مدیریت گواهی استفاده نمیشه، دسترسی شبکه و فایلنویسی اون رو با WDAC کاملاً ببندید. ▸ قانون Sigma برای شناسایی دانلود: title: Certutil Downloading File from Internet detection: selection: EventID: 1 Image|endswith: '\certutil.exe' CommandLine|contains: - '-urlcache' - '-verifyctl' - 'http' level: high ▸ قانون Sigma برای شناسایی رمزگشایی: title: Certutil Base64 Decode detection: selection: EventID: 1 Image|endswith: '\certutil.exe' CommandLine|contains: '-decode' level: high ▸ فعالسازی PowerShell Script Block Logging: برای شناسایی زنجیرهی حملهای که certutil رو از PowerShell فراخوانی میکنه. ▸ Least Privilege: اجرای certutil توسط کاربران عادی رو با AppLocker یا WDAC مسدود کنید. فقط Admin باید بتونه این ابزار رو اجرا کنه. ━━━━━━━━━━━━━━━━━━━━━ ۷. بازیابی و Threat Hunting ━━━━━━━━━━━━━━━━━━━━━ ▸ قبل از هر اقدامی، شواهد رو حفظ کنید: wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:\evidence\sysmon.evtx wevtutil epl Security C:\evidence\security.evtx Get-ChildItem "$env:LOCALAPPDATA\Microsoft\Windows\INetCache" -Recurse ▸ Threat Hunting در Splunk — تمام سیستمهای آلوده: index=sysmon EventCode=1 Image="*certutil*" | where CommandLine LIKE "%-urlcache%" OR CommandLine LIKE "%-decode%" | stats count by ComputerName, CommandLine, ParentImage | sort -count ▸ Threat Hunting — اتصالات شبکه مشکوک certutil: index=sysmon EventCode=3 Image="*certutil*" | stats count by ComputerName, DestinationIp, DestinationPort | sort -count ▸ Threat Hunting — Alternate Data Stream: index=sysmon EventCode=15 Image="*certutil*" | table ComputerName, TargetFilename, Hash ▸ تست دفاعها با Atomic Red Team: Invoke-AtomicTest T1105 -TestNumbers 2 Invoke-AtomicTest T1140 -TestNumbers 1 اگه SIEM فوراً Alert داد = قوانین درست کار میکنن ✓ ▸ بعد از Containment، حتماً Lateral Movement رو بررسی کنید: دنبال اتصالات SMB، WMI یا PsExec از سیستم آلوده به بقیه سیستمها در همون بازه زمانی بگردید.
2
