0X01 基础信息

具体信息	详情
ATT&CK编号	T1592-001
所属战术阶段	侦察
操作系统	windows10 企业版 LTSC
创建时间	2022年11月7日
监测平台	火绒安全、火绒剑、sysmon

0X02技术原理

在入侵受害者之前，攻击者可能会收集有关受害者主机硬件的信息，这些信息可以在目标定位期间使用。有关硬件基础设施的信息可能包括各种详细信息，例如特定主机上的类型和版本，以及是否存在可能指示附加防御保护措施的其他组件（例如：卡/生物识别器，专用加密硬件等）。

攻击者可以通过各种方式收集此信息，例如通过主动扫描（例如：主机名，服务器旗标，用户代理字符串）、 钓鱼。攻击者还可能入侵站点，然后植入旨在收集访问者主机信息的恶意内容。有关硬件基础设施的信息也可能通过在线或其他可访问的数据集（例如：职位发布，网络地图，评估报告，履历表或购买发票）暴露给攻击者。收集这些信息可能为其他形式的侦察提供可能性（例如：搜索开放网站/域，或搜索公开技术数据库），建立运营资源（例如：开发能力或获取能力），或实现初始访问（例如：攻击硬件供应链或硬件添加）。

0x03复现环境

工具列表	相关链接
PowerShell	https://learn.microsoft.com/zh-cn/skypeforbusiness/set-up-your-computer-for-windows-powershell/download-and-install-windows-powershell-5-1
sysmon日志记录工具	https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon
sysmon默认规则文件	https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml
sysmon安装命令	sysmon64.exe -accepteula -i sysmonconfig-export.xml
攻击条件	获取受害者主机权限

0x04复现过程

使用powershell commandlet枚举相机设备。这种技术出现在dcrat恶意软件后门功能中，它枚举安装在受感染主机的摄像头信息。参考

https://www.mandiant.com/resources/analyzing-dark-crystal-rat-backdoor

使用powershell运行以下命令，需要权限为（root/admin）

Get-CimInstance -Query "SELECT * FROM Win32_PnPEntity WHERE (PNPClass = 'Image' OR PNPClass = 'Camera')"

可以看出枚举出来的有USB视频设备，还有EOS 佳能相机设备;命令解读，从即插即用的设备当中检索出图像和摄像头设备

Get-CimInstance：从 CIM 服务器获取类的 CIM 实例。

Win32_PnPEntity：WMI 类表示即插即用设备的属性。

0x05检测方法

1.日志特征

Process Create:
RuleName: -
UtcTime: 2022-11-09 07:04:57.045
ProcessGuid: {97e75c69-5119-636b-8519-00000000e101}
ProcessId: 17968
Image: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
FileVersion: 10.0.17763.1 (WinBuild.160101.0800)
Description: Windows PowerShell
Product: Microsoft® Windows® Operating System
Company: Microsoft Corporation
OriginalFileName: PowerShell.EXE
CommandLine: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" 
CurrentDirectory: C:\Users\Administrator\
User: DESKTOP-QBSHNDH\Administrator
LogonGuid: {97e75c69-008d-636b-49ec-070000000000}
LogonId: 0x7EC49
TerminalSessionId: 1
IntegrityLevel: High
Hashes: SHA256=DE96A6E69944335375DC1AC238336066889D9FFC7D73628EF4FE1B1B160AB32C
ParentProcessGuid: {97e75c69-008e-636b-b700-00000000e101}
ParentProcessId: 9728
ParentImage: C:\Windows\explorer.exe
ParentCommandLine: C:\Windows\Explorer.EXE

2.攻击特征

火绒安全自定义防护规则命名为：powershell枚举相机设备防护，操作文件：注册HKLM_System\CurrentControlSet\Services\Tcpip\Parameters\Hostname，操作类型为【读取】。

0x06 处置方法与规则编写

监视注册表以了解通过powershell枚举相机/图像设备的动作，当powershell执行枚举命令时，火绒提示对防护的注册表进行拦截，但是并没有起到防护效果，通过注册表自定义防护是没有效果的，只能通过禁用powershell来进行处置。

火绒防护规则

{
    "ver":"5.0",
    "tag":"hipsuser",
    "data":[
        {
            "id":2,
            "power":1,
            "name":"powershell枚举相机设备防护",
            "procname":"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "treatment":1,
            "policies":[
                {
                    "montype":2,
                    "action_type":15,
                    "res_path":"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Tcpip\\Parameters\\Domain"
                },
                {
                    "montype":2,
                    "action_type":15,
                    "res_path":"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Tcpip\\Parameters\\Hostname"
                },
                {
                    "montype":2,
                    "action_type":15,
                    "res_path":"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Tcpip\\Parameters\\*"
                }
            ]
        }
    ]
}

0x07总结

从实验中我们可以看到，拿到受害者主机的权限后，在侦察阶段通过powershell去读取系统存在的某些硬件信息；火绒安全软件是不会进行拦截的，自定义火绒拦截规则后，针对所保护的注册表项进行防护后，火绒显示已经是拒绝访问的，仍然能读取到系统的硬件信息，所以这种方式在某种程度上来说可以用来规避杀软的防御。