hunting-for-persistence-mechanisms-in-windows

在 Windows 中搜寻持久化机制

何时使用

• 在针对潜伏后门的周期性主动威胁搜寻期间
• 在事件发生后，识别攻击者植入的所有持久化机制
• 在调查异常服务、计划任务或启动项时
• 当威胁情报报告描述野外的新的持久化技术时
• 在安全态势评估期间，识别未经授权的持久化软件

前提条件

• 部署了 Sysmon，并启用事件 ID 12/13/14（注册表）、19/20/21（WMI）、1（进程创建）
• 转发 Windows 安全事件，涵盖 4697（服务安装）、4698（计划任务）
• 具备注册表和文件监控能力的 EDR
• 启用 PowerShell 脚本块日志记录（事件 ID 4104）
• Autoruns 或等效的合法持久化条目基线

工作流

1. 枚举已知持久化位置：建立一份全面的 Windows 持久化点清单（Run 键、服务、计划任务、WMI、启动文件夹、DLL 搜索顺序、COM 劫持、AppInit DLL、映像文件执行选项）。
2. 收集端点数据：使用 EDR、Sysmon 或 Velociraptor 从环境中各端点收集当前的持久化产物。
3. 建立合法持久化基线：将收集到的数据与已知良好基线（Autoruns 快照、GPO 部署条目、SCCM 配置）进行比对。
4. 识别异常：标记持久化位置中偏离基线的新增、未签名或未知条目。
5. 调查可疑条目：对每个异常项，检查其指向的二进制文件、数字签名、文件哈希和创建时间戳。
6. 与进程活动关联：将持久化条目与进程执行、网络活动和用户登录事件关联起来。
7. 记录并修复：记录发现结果，移除恶意持久化，并更新检测规则。

关键概念

概念	描述
T1547.001	注册表 Run 键 / 启动文件夹
T1543.003	Windows 服务（创建或修改）
T1053.005	计划任务
T1546.003	WMI 事件订阅
T1546.015	组件对象模型（COM）劫持
T1546.012	映像文件执行选项注入
T1546.010	AppInit DLL
T1547.004	Winlogon 辅助 DLL
T1547.005	安全支持提供程序
T1574.001	DLL 搜索顺序劫持
TA0003	持久化战术
Autoruns	显示持久化条目的 Sysinternals 工具

工具与系统

工具	用途
Sysinternals Autoruns	全面的持久化枚举
Velociraptor	端点范围的持久化产物收集
CrowdStrike Falcon	实时持久化监控
Sysmon	注册表和 WMI 事件监控
OSQuery	基于 SQL 的持久化查询
RECmd	用于取证分析的 Registry Explorer
Splunk	持久化事件的 SIEM 关联

常见场景

1. 注册表 Run 键后门：恶意软件添加 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 条目，指向 %APPDATA% 中的载荷。
2. WMI 事件订阅：对手创建 WMI 消费者/过滤器对，在系统启动时执行 PowerShell。
3. 恶意服务：攻击者使用 sc create 创建 Windows 服务，指向后门二进制文件。
4. COM 对象劫持：合法的 COM CLSID InprocServer32 路径被替换为恶意 DLL。
5. IFEO 调试器注入：为常见实用程序设置映像文件执行选项键，其调试器指向植入物。

输出格式

Hunt ID: TH-PERSIST-[DATE]-[SEQ]
Persistence Type: [Registry/Service/Task/WMI/COM/Other]
MITRE Technique: T1547.xxx / T1543.xxx / T1053.xxx
Location: [Full registry key / service name / task path]
Value: [Binary path / command line]
Host(s): [Affected endpoints]
Signed: [Yes/No]
Hash: [SHA256]
Creation Time: [Timestamp]
Risk Level: [Critical/High/Medium/Low]
Verdict: [Malicious/Suspicious/Benign]