Обнаружение атак DLL Hijacking

DLL Hijacking – это техника атаки, которая заключается в том, что на целевую систему вместе с уязвимым легальным программным обеспечением доставляется вредоносная динамическая библиотека (DLL). Уязвимое программное обеспечение при запуске не проверяет легитимность динамической библиотеки и загружает ее по имени файла, в результате чего запускается вредоносный код. Атаку с использованием техники DLL Hijacking сложно обнаружить, так как фактически запускается легальное программное обеспечение.

Для обнаружения атак типа DLL Hijacking используется модуль AI, который анализирует параметры запуска и исполнения программ и определяет подозрительные случаи запуска легального программного обеспечения с вредоносными библиотеками. Для того чтобы настроить модуль AI, при создании правила обогащения нужно выбрать тип Проверка DLL Hijacking и затем привязать его либо к коллектору, либо к коррелятору. Мы рекомендуем привязывать обогащение этого типа к коррелятору, а не к коллектору, поскольку в корреляторе проверка проводится на корреляционном событии, а в коллекторе – на базовом. Так как корреляционных событий намного меньше, чем базовых, запросов для проверки корреляционных событий требуется намного меньше. Таким образом, при проверке в корреляторе нагрузка на службу KSN значительно ниже, чем при проверке событий в коллекторе.

Для получения заключения KUMA отправляет запрос в KSN. Запрос содержит информацию из полей события, которая необходима для анализа. В ответ на запрос KSN присылает одно из следующих заключений:

• 0 – В обработке. Для получения заключения требуется отправить запрос повторно. Отправку повторных запросов вы можете настроить с помощью параметра Выполнять повторный запрос.
• 1 – Вредоносность не подтверждена. На момент получения заключения библиотека не считается вредоносной.
• 2 – Подозрительная. При получении этого заключения создается алерт, если у вас настроено соответствующее правило корреляции.
• 3 – Вредоносная. При получении этого заключения создается алерт, если у вас настроено соответствующее правило корреляции. Заключение Вредоносная с большей вероятностью указывает на обнаружение DLL Hijacking, чем заключение Подозрительная.

Заключение записывается в событие в поле KL_AI_DLLHijackingCheckResult в виде числового значения и текстового пояснения.

Для использования обогащения типа Проверка DLL Hijacking ваша лицензия должна включать в себя модуль AI. Главному администратору также требуется принять дополнительное Положение о KSN в разделе Kaspersky Security Network (Параметры → Интеграции → AI-сервисы → Обнаружение атак DLL Hijacking). Если в вашем экземпляре KUMA несколько Главных администраторов, достаточно, чтобы Положение о KSN принял любой из них.

Если лицензия отсутствует или срок действия лицензии с модулем AI истек:

• Невозможно создавать правила обогащения с типом Проверка DLL Hijacking. При этом ранее созданные правила остаются доступны для просмотра, а также в течение семи дней доступны для изменения.
• Поле KL_AI_DLLHijackingCheckResult остается доступным для просмотра. Также вы можете выполнять поиск и фильтрацию по этому полю.
• Коллекторы не отправляют запрос по ранее настроенным обогащениям типом Проверка DLL Hijacking.

Обнаружение атак DLL Hijacking с помощью обогащения событий в корреляторе

Чтобы настроить обнаружение атак DLL Hijacking с помощью обогащения событий в корреляторе:

1. В веб-интерфейсе решения откройте раздел Ресурсы → Корреляторы.
2. Запустите создание коррелятора или откройте параметры существующего коррелятора.
3. Добавьте правило обогащения типа Проверка DLL Hijacking.

   При настройке обогащения требуется заполнить следующие поля:

   • Хеш файла DLL (md5).

     Например, если хеш DLL-библиотеки находится в поле DeviceCustomString2, необходимо проставить сопоставление DeviceCustomString2 <> Хеш файла DLL (md5).

   • Путь до файла DLL.
   • Хеш процесса (md5).
   • Путь до процесса.
   • Подпись процесса и Размер файла DLL, если вы хотите повысить точность обнаружения атак DLL Hijacking.

   Такие данные есть в событиях "Module load" Kaspersky EDR Expert, в событиях Sysmon Event ID 7.

   Убедитесь, что указанные вами поля заполняются при нормализации в коллекторе. Мы рекомендуем использовать нормализатор [OOTB] KEDR Telemetry, импортированный из репозитория.

4. В разделе Корреляция создайте правило корреляции типа simple или типа standard. В правиле корреляции укажите поля, которые вы указали при добавлении обогащения. Если вы создали правило корреляции типа simple, поля должны быть перечислены в параметре Наследуемые поля. Для правила корреляции типа standard поля перечисляются в параметре Группирующие поля.
5. В параметрах обогащения в разделе Параметры фильтра выберите из списка фильтр [OOTB] Events for DLLHijacking enrichment. Filter for correlator. Если этот фильтр отсутствует в списке, импортируйте его из репозитория. Вы также можете настроить фильтр самостоятельно.
6. Если вы хотите настроить решение так, чтобы при получении заключений Подозрительная или Вредоносная создавался алерт, создайте правило корреляции. При создании правила корреляции выберите тип simple или тип standard и на вкладке Селектор укажите в параметрах фильтра два условия:

   Создание алерта для заключения Подозрительная

   KL_AI_DLLHijackingCheckResult = 2

   Создание алерта для заключения Вредоносная

   KL_AI_DLLHijackingCheckResult = 3

Обнаружение атак DLL Hijacking будет настроено. Если вы создали правило корреляции, то при получении заключений Подозрительная или Вредоносная будет создаваться алерт.

Обнаружение атак DLL Hijacking с помощью обогащения событий в коллекторе

Не рекомендуется использовать обогащение типа Проверка DLL Hijacking в коллекторе. Это повышает нагрузку на службу KSN. Вместо этого привяжите обогащение этого типа к коррелятору.

Чтобы настроить обнаружение атак DLL Hijacking с помощью обогащения событий в коллекторе:

1. В веб-интерфейсе решения откройте раздел Ресурсы → Коллекторы.
2. Запустите создание коллектора или откройте параметры существующего коллектора.
3. Добавьте обогащение типа Проверка DLL Hijacking.

   При настройке обогащения требуется заполнить следующие поля:

   • Хеш файла DLL (md5).

     Например, если хеш DLL-библиотеки находится в поле DeviceCustomString2, необходимо проставить сопоставление DeviceCustomString2 <> Хеш файла DLL (md5).

   • Путь до файла DLL.
   • Хеш процесса (md5).
   • Путь до процесса.
   • Подпись процесса и Размер файла DLL, если вы хотите повысить точность обнаружения атак DLL Hijacking.

   Такие данные есть в событиях "Module load" Kaspersky EDR Expert, в событиях Sysmon Event ID 7.

   Убедитесь, что указанные вами поля заполняются при нормализации в коллекторе.

4. В параметрах обогащения в разделе Параметры фильтра выберите из списка фильтр [OOTB] Events for DLLHijacking enrichment. Filter for collector. Если этот фильтр отсутствует в списке, импортируйте его из репозитория. Вы также можете настроить фильтр самостоятельно.
5. Если вы хотите настроить решение так, чтобы при получении заключений Подозрительная или Вредоносная создавался алерт, создайте соответствующее правило корреляции. При создании правила корреляции выберите тип simple или тип standard и на вкладке Селектор укажите в параметрах фильтра два условия:

   Создание алерта для заключения Подозрительная

   KL_AI_DLLHijackingCheckResult = 2

   Создание алерта для заключения Вредоносная

   KL_AI_DLLHijackingCheckResult = 3

Обнаружение атак DLL Hijacking будет настроено. Если вы создали правило корреляции, то при получении заключений Подозрительная или Вредоносная будет создаваться алерт.