Sliver C2的行为分析和检测狩猎策略（下篇）

     在本章中，我们从安全分析师的角度，分析使用 Sliver C2 框架，在攻击模拟过程中收集到的遥测数据。

3.1分析已经产生的攻击

    提醒一下，我们的“受害者”组织由三项资产组成：

• 一个工作站，位于工作站网络区域，是攻击者通过鱼叉式钓鱼的入口

• 网络区域中的服务器 托管在DMZ，用于文档和托管 Confluence 服务

• 服务器网络区域中的域控制器。

    攻击者首先执行名为nasty_roast.exe的 Sliver beacon。 在初始受害者机器（工作组）上。

执行 Sliver C2 植入程序，名称为“NASTY_ROAST.exe”

    进一步分析 nasty_roast.exe 进程，我们发现网络连接似乎是 Sliver C2 服务器，在 TCP 端口 8888 上：

与 Sliver C2 的网络连接

    然后攻击者从beacon 执行whoami.exe /all ：

显示从 nasty_roast.exe 生成 whoami.exe 的 Cybereason 进程树

    此命令显示恶意植入用户的执行上下文。

3.1.2蓝队 - 命令执行

攻击者通过“net.exe”命令继续发现：

显示本地管理员组内容以及 Active Directory“域管理员”组的 Net.exe 命令

蓝队 - UAC绕过

    攻击者需要的第一步是获得 NTSystem 权限。为了获得该特权，攻击者需要 绕过用户帐户控制或“UAC”。

    在实验室环境中，攻击者编译 C# 源代码（.cs 扩展名），生成文件 cmstp-uac-bypass.dll ：

编辑和编译旨在绕过 UAC 的 DLL

    执行利用生成的 DLL 的 PowerShell 脚本 然后，攻击者执行命令：

powershell  C:Users[..]Documentsfileuac.ps1

Powershell.exe 从 Sliver C2 植入物中衍生出来，创建一个 cmstp.exe 进程

    此方法允许攻击者利用 cmstp.exe绕过计算机上的 UAC。

    结果命令是：

"c:windowssystem32cmstp.exe" /au C:windowstempy1zuhb4s.inf

    我们可以观察到 DLL 是在 powershell.exe 进程本身中反射加载的：

powershell.exe 的加载模块

    作为攻击者执行此 UAC 绕过的结果，我们识别出一个新创建的“nasty_roast.exe ”进程，其中“dllhost.exe”为父进程：

在提升状态下处理“nasty_roast.exe”

     可以注意到属性“ Elevated child process privileges ”，这是由进程提升引起的。

    攻击者在此步骤之后使用另一个 whoami.exe /all 命令。但是这个过程仍然在用户帐户下运行，而不是 NTSystem 。    

    下一个合乎逻辑的步骤是攻击者执行“ GetSystem ”Sliver C2 命令以在受害机器上获得系统权限，从而导致注入 spoolsv.exe 进程 ：

以“系统”权限注入spoolsv.exe

    因此，我们确定了 用户上下文中执行的spoolsv.exe 在 NTSystem 进程的注入链。攻击者在 spoolsv.exe 注入后使用另一个 whoami /all 命令来验证其权限。

    注入函数标记为“ CreateRemoteThread ”，表明 Sliver C2 植入程序正在 spoolsv.exe 中创建一个远程线程。

    我们稍后观察到使用 Sliver C2 的“Shell ”命令以独特的方式 运行powershell.exe ：

使用特定参数执行 powershell.exe，Sliver C2 独有

    由于这是 Sliver C2 独有的，因此可用于本文后面的 检测。

    现在攻击者获得了完整的用户权限，他将继续在机器上收集用户帐户。

Execute-Assembly

    攻击者利用“Execute-Assembly”Silver C2 功能来查询域控制器 LDAP 服务：

从 spoolsv.exe 注入到 notepad.exe，连接到 TCP 端口 389 (LDAP) 上的域控制器

    分析表明，默认情况下，Sliver C2 植入程序会创建 notepad.exe 进程，并在使用该功能时将其注入。

LSASS 转储

    在此活动之后，攻击者尝试另一种方法从受害计算机窃取用户凭据。攻击者执行了一个内存转储的lsass.exe进程 ：

在 lsass.exe 的内存转储之后创建 MalOp 和进程树新项目

    然后，攻击者利用 mimikatz.exe 分析主机本身的内存转储：

Mimikatz.exe执行

此时，攻击者拥有主动连接到受害机器的本地用户和域用户的帐户。

    攻击者利用powershell.exe通过以下命令扫描内部网络：

powershell "5..15 | ForEach-Object {Get-WmiObject Win32_PingStatus -Filter Address=10.0.2.$_" and Timeout=200 and ResolveAddressNames=true and "StatusCode=0 | select ProtocolAddress*}" 

      攻击者然后使用 Windows 系统二进制文件（net.exe、nltest.exe  ）获取 Active Directory 信息发现命令：

Active Directory 发现

    在发现和凭据盗窃活动之后，攻击者现在继续攻击发现的其他资产。

从工作组到 DMZ 服务器

    攻击者在机器的系统权限下在服务器上远程创建服务：

（1）攻击者通过微软分布式网络远程过程调用（RPC）技术的RCreateServiceW函数从工作站远程启动服务器上的一个服务：

此 MSRPC 指示创建了从 alon-wks 到 s1-confluence.stagezero.lab 的远程服务

（2）我们观察到对应的 Sliver C2  implant 通过services.exe在 s1-confluence 服务器上的创建了一个新进程的 ：

远程创建和启动“pentest2”服务，执行随机生成的进程（ wehsbmf4im.exe ）

    创建的远程服务默认名称为“Sliver”。在这种情况下，攻击者故意将其更改为“ pentest2 ”。

蓝队 - 通过 PsExec 进行横向移动

    此操作是使用 Sliver C2 的“ PsExec ”远程命令产生的，它创建了一个具有随机生成名称的implant可执行文件。路径为 c:windowstempwehsbmf4im.exe ）。

    与工作组上的其他implant一样，该implant也在 TCP 端口 8888 上与 Sliver C2 服务器基础设施进行通信。

    在横向移动之后，攻击者再次通过 whoami /all 命令检查他的用户权限。在此操作之后，对 notepad.exe 的另一次注入与使用 Sliver C2“ Execute-Assembly ”函数有关。他还执行命令“ nltest /dclist ”来识别域控制器的名称，这可能是他的下一个目标。创建并注入的 notepad.exe 进程包含一个名为 Rubeus的模块：

notepad.exe的加载进程，再次展示了Execute-Assembly的使用

    Rubeus 是一个用于原始 Kerberos 交互和滥用的 C# 程序。在这种情况下，它用于与域控制器交互。除了使用 Rubeus 之外，攻击者还直接从植入的进程中进行了lsass.exe内存转储。

可疑进程wehsbmf4im.exe（远程部署在服务器上的Sliver C2植入），显示lsass.exe的内存转储

    Rubeus 的使用表明潜在的 Kerberos 票证操纵，以便通过 票证传递攻击重新使用被盗帐户。在攻击进行时建立会话的事实表明攻击者获得了域管理权限：

使用域管理员帐户建立的登录会话

从 DMZ 服务器到域控制器

    为了控制域控制器 (dc-1)，攻击者通过再次使用 PsExec 方法将其作为目标：

显示在域控制器上创建另一个远程服务的文件事件

    此时，攻击者控制了环境的域控制器。在域控制器上，攻击者执行与之前在服务器和工作站上类似的操作：

• 对notepad.exe 指示使用 Execute-Assembly 方法使用 Silver C2 armory 模块进行注入

• 通过 Execute-Assembly 功能使用 Rubeus

• 通过 Sliver C2 的 Shell 特性 启动 mimikatz.exe

• 创建和操作 Kerberos 票证

• 用于凭据盗窃的 LSASS 内存转储

指示 Kerberos 票证文件操作的文件事件

    攻击者最终利用 Mimikatz 的“ DCSync ”功能来模拟域控制器以窃取凭证数据库：

此 MSRPC 显示了域控制器复制的使用，可被滥用于窃取 AD 凭据

    当攻击者准备数据窃取时，我们检测到新的活动，包括在进程 necessary_eviction.exe （Sliver C2 生成的随机名称）下产生另一个 Sliver C2 植入程序。

    首先，攻击者执行新落地的植入物，如下面的文件事件所示：

指示新可执行文件落地的文件事件（Sliver C2 植入）

    然后，攻击者执行文件：

在域控制器上执行的新植入

    这一次，攻击者将植入程序配置为通过 UDP 端口 999（非默认端口，默认端口为 51820）到达 Sliver C2 服务器基础设施：

UDP 连接到 Sliver C2 服务器

    在此阶段，任何熟悉 Sliver C2 框架的分析师都会推测，该框架唯一使用 UDP 的网络协议的 WireGuard 协议符合此行为。在 Sliver C2 项目 wiki 上，一个页面阐明了端口转发的使用，并指出应该使用 Wireguard 来更好地远程访问内部网络：

创建 WireGuard 植入程序后，攻击者启动与 DMZ 服务器 (s1-confluence) 的 RDP 服务的连接，如连接屏幕所示：

显示 DMZ 服务器的 3389 端口 (RDP) 上的 TCP 连接的连接屏幕

    此连接是通过使用 Sliver C2 的 WireGuard 端口转发功能创建的。有趣的是，我们还发现了初始植入程序 fnhoczptph.exe 显示了针对 s1-confluence DMZ 服务器的 Confluence 端口的代理活动：

这表明攻击者正在从内部 Confluence 服务器窃取数据

• HTTPS 3fd21b20d00000021c43d21b21b43d41226dd5dfc615dd4a96265559485910

• MTLS 00000000000000000043d43d00043de2a97eabb398317329f027c66e4c1b01