Triage Practical Solution – Malware Event – Proxy Logs Prefetch $MFT IDS
Tuesday, April 5, 2016
6
comments
Staring at your Mountain Dew you think to yourself how well your malware triage process worked on triaging cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alert. It’s not perfect and needs improvement to make it faster but overall cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process worked. In minutes you went from IDS alerts to malware on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system. That’s a lot better than what it used to be; where IDS alerts went into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 black hole of logs never to be looked at again. Taking a sip of your Mountain Dew you are ready to provide your ISO with an update.
To fill in those readers who may not know what is going on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 abbreviated practical scenario (for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full scenario refer to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post Triage Practical – Malware Event – Proxy Logs Prefetch $MFT IDS):
The junior security guy noticed anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malware infection showing up in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts. They grabbed a screenshot of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 alerts and sent it to you by email. As soon as you received cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 email containing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 screenshot shown below you started putting your malware triage process to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 test.
Below are some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial questions you had to answer and report back to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ISO.
* Is this a confirmed malware security event or was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior analyst mistaken?
* What do you think occurred on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system to cause cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware event in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first place?
* What type of malware is involved and what capabilities does it have?
* What potential risk does cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware pose to your organization?
* What recommendation(s) do you make to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security team to strengcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n its security program to reduce similar incidents occurring in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 future?
Despite cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wealth of information available to you within an enterprise, only a subset of data was provided for you to use while triaging this malware event. The following artifacts were made available:
* IDS alerts for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeframe in question (you need to replay cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 provide pcap to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts. pcap is not provided for you to use during triage and was only made available to enable you to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts in question)
* Parsed index.dat files to simulate proxy web logs (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parsed index.dat information was modified to remove items not typically found in a web server’s proxy logs)
* Prefetch files from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question (inside cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Prefetch.ad1 file)
* Filesystem metadata from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Master File Table is provided for this practical)
Each enterprise’s network is different and each one offers different information for triaging. As such, it is not possible to outline all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 possible locations where this information could be located in enterprises. However, it is possible to highlight common areas where this information can be found. To those reading this post whose environments do not reflect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 locations I mention cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n you can evaluate your network environment for a similar system containing similar information or better prepare your network environment by making sure this information starts being collected in systems.
* Proxy web logs within an enterprise can be stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy server itself and/or in a central logging system. In addition to proxy web logs, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system will have web usage history for each web browser on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system
* IDS alerts within an enterprise can be stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS/IPS sensors cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves or centrally located through a management console and/or central logging system (i.e. SIEM)
* Prefetch files within an enterprise can be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system
* File system metadata within an enterprise can be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system
Knowing where information is available within an enterprise is only part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 equation. It is necessary to collect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information so it can be used for triaging. Similar to all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 differences between enterprises’ networks, how information is collected varies from one organization to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next. Below are a few suggestions for how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information outlined above can be collected.
* Proxy web logs will eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy server itself or a centralized logging solution. The collection of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs can be as simple as running a filter in a web graphical user interface to export cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs, copying an entire text file containing log data from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 server, or viewing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interface to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 central logging system.
* IDS alerts don’t have to be collected. They only need to be made available so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can be reviewed. Typically this is accomplished through a management console, security monitoring dashboard, or a centralized logging solution.
* Prefetch files are stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system. The collection of this artifact can be done by eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r pulling cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 files off remotely or locally. Remote options include an enterprise forensic tools such as F-Response, Encase Enterprise, or GRR Rapid Response, triage scripts such as Tr3Secure collection script, or by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 admin share since Prefetch files are not locked files. Local options can use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same options.
* File system metadata is very similar to Prefetch files because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same collection methods work for collecting it. The one exception is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file can’t be pulled off by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 admin share.
The last part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 equation is what tools one should use to examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information that is collected. The tools I’m outlining below are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ones I used to complete cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical.
* Excel to view cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 text based proxy logs
* Winprefetchview to parse and examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 prefetch files
* MFT2CSV to parse and examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 $MFT file
Placeholder since none were known at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of this post
The diagram below outlines cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 jIIr workflow for confirming malicious code events. The workflow is a modified version of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Securosis Malware Analysis Quant. I modified Securosis process to make it easier to use for security event analysis
Detection: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious code event is detected. Detection can be a result of technologies or a person reporting it. The workflow starts in response to a potential event being detected and reported.
Triage: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 detected malicious code event is triaged to determine if it is a false positive or a real security event.
Compromised: after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is triaged cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first decision point is to decide if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine could potentially be compromised. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is a false positive or one showing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine couldn’t be infected cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow is exited and returns back to monitoring cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is confirmed or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is a strong indication it is real cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow continues to identifying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware.
Malware Identified: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware is identified two ways. The first way is identifying what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware is including its purpose and characteristics. The second way is identifying and obtaining cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual system.
Root Cause Analysis: a quick root cause analysis is performed to determine how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine was compromised and to identify indicators to use for scoping cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident. This root cause analysis does not call for a deep dive analysis taking hours and/or days but one only taking minutes.
Quarantine: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine is finally quarantined from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network it is connected to. This workflow takes into account performing analysis remotely so disconnecting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network is done at a later point in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine is initially disconnected after detection cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n analysis cannot be performed until someone eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r physically visits cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine or ships cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine to you. If an organization’s security monitoring and incident response capability is not mature enough to perform root cause analysis in minutes and analysis live over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wire cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Quarantine activity should occur once cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 decision is made about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine being compromised.
I opted to triage this practical similar to a real security event. As a result, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post doesn’t use all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 supplied information and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 approach is more focused on speed. The triage process started with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alert screenshot cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior security analyst saw cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceeded to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy logs before zeroing in on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question.
The screenshot below is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 one supplied by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior security analyst. In this practical it was not necessary to replay cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 packet capture to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se IDS alerts since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 screenshot supplied enough information.
Typically you can gain a lot of context about a security event by first exploring cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signatures cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves. Gaining context around a security event solely using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signature names becomes second nature by doing event triage analysis on a daily basis. Analysts tend to see similar attacks triggering similar IDS alerts over time; making it easier to remember what attacks are and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 traces cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y leave in networks. For ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r analysts this is where Google becomes cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir best friend. The screenshot shows three distinct events related to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware in this security incident.
1. ET CURRENT_EVENTS Possible Dyre SSL Cert: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se signatures indicate a possible SSL certificate for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Dyre malware. Dyre is a banking Trojan and it uses SSL to encrypt its communication. The practical did not include this but anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r way to detect this activity is by consuming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SSL Blacklist and comparing it against an organization’s firewall logs or netflow data to see if any internal hosts are communicating with known IP addresses associated with Dyre
2. ET POLICY Internal Host Retrieving External IP via icanhazip[.]com: this signature flags an internal host that contacts a known website associated with identifying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 public IP address. Depending on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization this may or may not be normal behavior for web browsing and/or end users. However, some malware tries to identify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 public facing IP address, which will trigger this IDS signature
3. ET TROJAN Common Upatre Header Structure: this signature flags traffic associated with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre Trojan. Upatre is a downloader that installs ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r programs.
One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts could had been a false positive but it is unlikely for this sequence of alerts all to be false positives. This confirms what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior analyst believed about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine being compromised. Specifically, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine was infected with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre downloader, which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceeded to install cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Dyre banking Trojan.
IDS alerts provide additional information that can be used in ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r data sources. The practical doesn’t provide cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date and time when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signatures fired but it does provide cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination IP addresses and domain name cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine communicated with. These IP addresses were used to correlate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts to activity recorded in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs. The web_logs.csv file was imported into Excel and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data was sorted using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date. This puts cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 log entries chronological order making it easier to perform analysis.
The web logs provided with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical were very basic. The only information recorded was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date/time, URL, and username. Unfortunately, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination IP address was not recorded, which is typical with web proxies. As a result, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs did not contain any entries for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IP addresses 72.175.10.116 and 104.238.141.75.
The search on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 domain icanhazip[.]com also came up empty. At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs provide no additional information with a date and time to go on. This analysis did reveal cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se web proxy logs suck and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization needs to make it a priority to record more information to make analysis easier. The organization also needs to ensure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network routes all HTTP/HTTPs web traffic through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy so it gets recorded and prevents users and programs from bypassing it.
At this point in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 analysis cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine in question needs to be triaged. Reviewing programs executing on a system is a quick technique to identify malicious programs on a system. The high level indicators I tend to look are below:
* Programs executing from temporary or cache folders
* Programs executing from user profiles (AppData, Roaming, Local, etc)
* Programs executing from C:\ProgramData or All Users profile
* Programs executing from C:\RECYCLER
* Programs stored as Alternate Data Streams (i.e. C:\Windows\System32:svchost.exe)
* Programs with random and unusual file names
* Windows programs located in wrong folders (i.e. C:\Windows\svchost.exe)
* Ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r activity on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system around suspicious files
The collected prefetch files were parsed with Winprefetchview and I initially sorted by process path. I reviewed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parsed prefetch files using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 general indicators I mentioned previously and I found cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious program highlighted in red.
The first suspicious program was SCAN_001_140815_881[1].SCR executing from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Temporary Internet Files directory. The program was suspicious because it is executing from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lab user profile and its name resembles a document name instead of a screensaver name. To gain more context around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious program I cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n sorted by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Last Run time to see what else was executing around this time.
The SCAN_001_140815_881[1].SCR program executed at 8/15/2015 5:49:51 AM UTC. Shortly cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reafter anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r executed named EJZZTA8.EXE executed from user’s Temp directory at 8/15/2015 5:51:03 AM UTC. Both prefetch files did not reference any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r suspicious executables in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir file handles. At this point not only do I have two suspicious files of interest but I also identified cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exact date and time when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security event occurred.
The date and time of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident obtained from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Prefetch files can now be used to correlate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts and suspicious programs to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 activity in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs. The picture below shows leading up to when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR program executed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was accessing Yahoo email.
The rest of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web logs continued to show cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user interacting with Yahoo email around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infection occurred. However, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web logs don’t record cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 entry showing where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR program came from. This occurred eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy didn’t record it or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy sucks by not recording it. I’m going with latter since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs are missing a lot of information.
At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts revealed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question had network activity related to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre downloader and Dyre banking Trojans. The prefetch files revealed suspicious programs named SCAN_001_140815_881[1].SCR that executed at 8/15/2015 5:49:51 AM UTC and EJZZTA8.EXE that executed at 8/15/2015 5:51:03 AM UTC. The web proxy logs showed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was accessing Yahoo email around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 programs executed. The next step in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 triage process is to examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file system metadata to identify any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malicious software on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system and to try to confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial infection vector. I reviewed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 metadata in a timeline to make it easier to see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 activity for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of interest.
For this practical I leveraged cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 MFT2CSV program in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 configuration below to generate a timeline. However, an effective and faster technique - but not free - is using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 home plate feature in Encase Enterprise against a remote system live. This enables you to triage cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system live instead of trying to collect files from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system for offline analysis.
In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline I went to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of interest, which was 8/15/2015 5:49:51 AM UTC. I cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceed forward in time to identify any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r suspicious files. The first portion of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline didn’t show any new activity of interest around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR file.
Continuing going through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline going forward in time lead me to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next file EJZZTA8.EXE. The activity between cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se two files only showed files being created in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Temporary Internet Files and Cookies directories indicating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was surfing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet.
At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline did not provide any new information and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last analysis step is to triage cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious programs found.
The first program SCAN_001_140815_881[1].SCR was no longer on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 second program (EJZZTA8.EXE) was. The practical file file_hash_list.csv showed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EJZZTA8.EXE’s MD5 hash was f26fd37d263289cb7ad002fec50922c7. The first search was to determine if anyone uploaded cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file to VirusTotal and a VirusTotal report was available. Numerous antivirus detections confirmed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program was Upatre, which matches one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 triggered IDS signatures.
A Google search of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hash located a Hybrid Analysis report and Malware report. The Hybrid Analysis report confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sample sends network traffic. This information could cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n be used to scope cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident to identify potentially ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r infected machines.
The resources section in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program contains an icon confirming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file tried to mimic a document. This makes me conclude it was a social engineering attack against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user.
The reports contained ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r information that one could use to identify ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r infected systems in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 enterprise. However, as it relates to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re wasn’t much additional information I needed to complete my triage analysis. The next step would be to contact cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end user to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 phishing email and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n request for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 email to be purged from all users’ inboxes.
The triage process did confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system was infected with malicious code. The evidence that was present on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lack of ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r attack vector artifacts (i.e. exploits, vulnerable programs executing, etc.) leads me to believe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system was infected due to a phishing email. The email contained some mechanism to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to initiate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infection. The risk to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization is twofold. One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious programs downloads and installs ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malware. The ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malicious program tries to capture and exhilarate credentials from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system. The next step would be to escalate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware event to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident response process so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system can be quarantined, system can be cleaned, end user can be contacted to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 phishing email and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n it can be determined why end users have access to web email instead of using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization's email system.
Triage Scenario
To fill in those readers who may not know what is going on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 abbreviated practical scenario (for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full scenario refer to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post Triage Practical – Malware Event – Proxy Logs Prefetch $MFT IDS):
The junior security guy noticed anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malware infection showing up in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts. They grabbed a screenshot of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 alerts and sent it to you by email. As soon as you received cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 email containing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 screenshot shown below you started putting your malware triage process to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 test.
Below are some of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial questions you had to answer and report back to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ISO.
* Is this a confirmed malware security event or was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior analyst mistaken?
* What do you think occurred on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system to cause cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware event in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first place?
* What type of malware is involved and what capabilities does it have?
* What potential risk does cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware pose to your organization?
* What recommendation(s) do you make to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security team to strengcá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n its security program to reduce similar incidents occurring in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 future?
Information Available
Despite cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wealth of information available to you within an enterprise, only a subset of data was provided for you to use while triaging this malware event. The following artifacts were made available:
* IDS alerts for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeframe in question (you need to replay cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 provide pcap to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts. pcap is not provided for you to use during triage and was only made available to enable you to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts in question)
* Parsed index.dat files to simulate proxy web logs (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parsed index.dat information was modified to remove items not typically found in a web server’s proxy logs)
* Prefetch files from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question (inside cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Prefetch.ad1 file)
* Filesystem metadata from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question (cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Master File Table is provided for this practical)
Information Storage Location within an Enterprise
Each enterprise’s network is different and each one offers different information for triaging. As such, it is not possible to outline all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 possible locations where this information could be located in enterprises. However, it is possible to highlight common areas where this information can be found. To those reading this post whose environments do not reflect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 locations I mention cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n you can evaluate your network environment for a similar system containing similar information or better prepare your network environment by making sure this information starts being collected in systems.
* Proxy web logs within an enterprise can be stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy server itself and/or in a central logging system. In addition to proxy web logs, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system will have web usage history for each web browser on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system
* IDS alerts within an enterprise can be stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS/IPS sensors cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves or centrally located through a management console and/or central logging system (i.e. SIEM)
* Prefetch files within an enterprise can be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system
* File system metadata within an enterprise can be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system
Collecting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Information from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Storage Locations
Knowing where information is available within an enterprise is only part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 equation. It is necessary to collect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information so it can be used for triaging. Similar to all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 differences between enterprises’ networks, how information is collected varies from one organization to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next. Below are a few suggestions for how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information outlined above can be collected.
* Proxy web logs will eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r be located on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy server itself or a centralized logging solution. The collection of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs can be as simple as running a filter in a web graphical user interface to export cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs, copying an entire text file containing log data from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 server, or viewing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interface to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 central logging system.
* IDS alerts don’t have to be collected. They only need to be made available so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can be reviewed. Typically this is accomplished through a management console, security monitoring dashboard, or a centralized logging solution.
* Prefetch files are stored on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 potentially infected system. The collection of this artifact can be done by eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r pulling cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 files off remotely or locally. Remote options include an enterprise forensic tools such as F-Response, Encase Enterprise, or GRR Rapid Response, triage scripts such as Tr3Secure collection script, or by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 admin share since Prefetch files are not locked files. Local options can use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same options.
* File system metadata is very similar to Prefetch files because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same collection methods work for collecting it. The one exception is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file can’t be pulled off by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 admin share.
Potential DFIR Tools to Use
The last part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 equation is what tools one should use to examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information that is collected. The tools I’m outlining below are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ones I used to complete cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical.
* Excel to view cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 text based proxy logs
* Winprefetchview to parse and examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 prefetch files
* MFT2CSV to parse and examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 $MFT file
Ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs’ Approaches to Triaging cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Malware Event
Placeholder since none were known at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of this post
Partial Malware Event Triage Workflow
The diagram below outlines cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 jIIr workflow for confirming malicious code events. The workflow is a modified version of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Securosis Malware Analysis Quant. I modified Securosis process to make it easier to use for security event analysis
Detection: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious code event is detected. Detection can be a result of technologies or a person reporting it. The workflow starts in response to a potential event being detected and reported.
Triage: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 detected malicious code event is triaged to determine if it is a false positive or a real security event.
Compromised: after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is triaged cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first decision point is to decide if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine could potentially be compromised. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is a false positive or one showing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine couldn’t be infected cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow is exited and returns back to monitoring cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 event is confirmed or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is a strong indication it is real cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow continues to identifying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware.
Malware Identified: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware is identified two ways. The first way is identifying what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware is including its purpose and characteristics. The second way is identifying and obtaining cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual system.
Root Cause Analysis: a quick root cause analysis is performed to determine how cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine was compromised and to identify indicators to use for scoping cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident. This root cause analysis does not call for a deep dive analysis taking hours and/or days but one only taking minutes.
Quarantine: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine is finally quarantined from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network it is connected to. This workflow takes into account performing analysis remotely so disconnecting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network is done at a later point in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 workflow. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine is initially disconnected after detection cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n analysis cannot be performed until someone eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r physically visits cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine or ships cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine to you. If an organization’s security monitoring and incident response capability is not mature enough to perform root cause analysis in minutes and analysis live over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wire cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Quarantine activity should occur once cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 decision is made about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine being compromised.
Triage Analysis Solution
I opted to triage this practical similar to a real security event. As a result, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post doesn’t use all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 supplied information and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 approach is more focused on speed. The triage process started with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alert screenshot cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior security analyst saw cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceeded to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy logs before zeroing in on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question.
IDS alerts
The screenshot below is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 one supplied by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior security analyst. In this practical it was not necessary to replay cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 packet capture to generate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se IDS alerts since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 screenshot supplied enough information.
Typically you can gain a lot of context about a security event by first exploring cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signatures cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves. Gaining context around a security event solely using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signature names becomes second nature by doing event triage analysis on a daily basis. Analysts tend to see similar attacks triggering similar IDS alerts over time; making it easier to remember what attacks are and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 traces cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y leave in networks. For ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r analysts this is where Google becomes cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir best friend. The screenshot shows three distinct events related to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware in this security incident.
1. ET CURRENT_EVENTS Possible Dyre SSL Cert: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se signatures indicate a possible SSL certificate for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Dyre malware. Dyre is a banking Trojan and it uses SSL to encrypt its communication. The practical did not include this but anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r way to detect this activity is by consuming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SSL Blacklist and comparing it against an organization’s firewall logs or netflow data to see if any internal hosts are communicating with known IP addresses associated with Dyre
2. ET POLICY Internal Host Retrieving External IP via icanhazip[.]com: this signature flags an internal host that contacts a known website associated with identifying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 public IP address. Depending on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization this may or may not be normal behavior for web browsing and/or end users. However, some malware tries to identify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 public facing IP address, which will trigger this IDS signature
3. ET TROJAN Common Upatre Header Structure: this signature flags traffic associated with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre Trojan. Upatre is a downloader that installs ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r programs.
One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts could had been a false positive but it is unlikely for this sequence of alerts all to be false positives. This confirms what cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 junior analyst believed about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine being compromised. Specifically, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine was infected with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre downloader, which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceeded to install cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Dyre banking Trojan.
Web Proxy Logs
IDS alerts provide additional information that can be used in ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r data sources. The practical doesn’t provide cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date and time when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS signatures fired but it does provide cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination IP addresses and domain name cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine communicated with. These IP addresses were used to correlate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts to activity recorded in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs. The web_logs.csv file was imported into Excel and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data was sorted using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date. This puts cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 log entries chronological order making it easier to perform analysis.
The web logs provided with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical were very basic. The only information recorded was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 date/time, URL, and username. Unfortunately, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination IP address was not recorded, which is typical with web proxies. As a result, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 logs did not contain any entries for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IP addresses 72.175.10.116 and 104.238.141.75.
The search on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 domain icanhazip[.]com also came up empty. At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs provide no additional information with a date and time to go on. This analysis did reveal cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se web proxy logs suck and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization needs to make it a priority to record more information to make analysis easier. The organization also needs to ensure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network routes all HTTP/HTTPs web traffic through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 proxy so it gets recorded and prevents users and programs from bypassing it.
Prefetch files
At this point in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 analysis cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 machine in question needs to be triaged. Reviewing programs executing on a system is a quick technique to identify malicious programs on a system. The high level indicators I tend to look are below:
* Programs executing from temporary or cache folders
* Programs executing from user profiles (AppData, Roaming, Local, etc)
* Programs executing from C:\ProgramData or All Users profile
* Programs executing from C:\RECYCLER
* Programs stored as Alternate Data Streams (i.e. C:\Windows\System32:svchost.exe)
* Programs with random and unusual file names
* Windows programs located in wrong folders (i.e. C:\Windows\svchost.exe)
* Ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r activity on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system around suspicious files
The collected prefetch files were parsed with Winprefetchview and I initially sorted by process path. I reviewed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parsed prefetch files using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 general indicators I mentioned previously and I found cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious program highlighted in red.
The first suspicious program was SCAN_001_140815_881[1].SCR executing from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Temporary Internet Files directory. The program was suspicious because it is executing from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lab user profile and its name resembles a document name instead of a screensaver name. To gain more context around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious program I cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n sorted by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Last Run time to see what else was executing around this time.
The SCAN_001_140815_881[1].SCR program executed at 8/15/2015 5:49:51 AM UTC. Shortly cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reafter anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r executed named EJZZTA8.EXE executed from user’s Temp directory at 8/15/2015 5:51:03 AM UTC. Both prefetch files did not reference any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r suspicious executables in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir file handles. At this point not only do I have two suspicious files of interest but I also identified cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exact date and time when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security event occurred.
Web Proxy Logs Redux
The date and time of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident obtained from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Prefetch files can now be used to correlate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts and suspicious programs to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 activity in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs. The picture below shows leading up to when cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR program executed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was accessing Yahoo email.
The rest of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web logs continued to show cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user interacting with Yahoo email around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infection occurred. However, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web logs don’t record cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 entry showing where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR program came from. This occurred eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r because cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy didn’t record it or cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy sucks by not recording it. I’m going with latter since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web proxy logs are missing a lot of information.
File system metadata
At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IDS alerts revealed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system in question had network activity related to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Upatre downloader and Dyre banking Trojans. The prefetch files revealed suspicious programs named SCAN_001_140815_881[1].SCR that executed at 8/15/2015 5:49:51 AM UTC and EJZZTA8.EXE that executed at 8/15/2015 5:51:03 AM UTC. The web proxy logs showed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was accessing Yahoo email around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 programs executed. The next step in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 triage process is to examine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file system metadata to identify any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malicious software on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system and to try to confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial infection vector. I reviewed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 metadata in a timeline to make it easier to see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 activity for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of interest.
For this practical I leveraged cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 MFT2CSV program in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 configuration below to generate a timeline. However, an effective and faster technique - but not free - is using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 home plate feature in Encase Enterprise against a remote system live. This enables you to triage cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system live instead of trying to collect files from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system for offline analysis.
In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline I went to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of interest, which was 8/15/2015 5:49:51 AM UTC. I cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n proceed forward in time to identify any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r suspicious files. The first portion of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline didn’t show any new activity of interest around cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SCAN_001_140815_881[1].SCR file.
Continuing going through cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline going forward in time lead me to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next file EJZZTA8.EXE. The activity between cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se two files only showed files being created in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Temporary Internet Files and Cookies directories indicating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user was surfing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet.
At this point cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 timeline did not provide any new information and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last analysis step is to triage cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 suspicious programs found.
Researching Suspicious Files
The first program SCAN_001_140815_881[1].SCR was no longer on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 second program (EJZZTA8.EXE) was. The practical file file_hash_list.csv showed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EJZZTA8.EXE’s MD5 hash was f26fd37d263289cb7ad002fec50922c7. The first search was to determine if anyone uploaded cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file to VirusTotal and a VirusTotal report was available. Numerous antivirus detections confirmed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program was Upatre, which matches one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 triggered IDS signatures.
A Google search of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hash located a Hybrid Analysis report and Malware report. The Hybrid Analysis report confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sample sends network traffic. This information could cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n be used to scope cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident to identify potentially ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r infected machines.
The resources section in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program contains an icon confirming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file tried to mimic a document. This makes me conclude it was a social engineering attack against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user.
The reports contained ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r information that one could use to identify ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r infected systems in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 enterprise. However, as it relates to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 practical cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re wasn’t much additional information I needed to complete my triage analysis. The next step would be to contact cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end user to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 phishing email and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n request for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 email to be purged from all users’ inboxes.
Triage Analysis Wrap-up
The triage process did confirm cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system was infected with malicious code. The evidence that was present on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lack of ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r attack vector artifacts (i.e. exploits, vulnerable programs executing, etc.) leads me to believe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system was infected due to a phishing email. The email contained some mechanism to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to initiate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 infection. The risk to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization is twofold. One of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malicious programs downloads and installs ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malware. The ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r malicious program tries to capture and exhilarate credentials from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system. The next step would be to escalate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 malware event to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incident response process so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system can be quarantined, system can be cleaned, end user can be contacted to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 phishing email and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n it can be determined why end users have access to web email instead of using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 organization's email system.
Posts
