Podría decirse que la remediación es el paso más importante en la respuesta ante incidentes, ya que garantiza la eliminación de los artefactos maliciosos y otros rastros de la actividad de los atacantes, con el fin de asegurar que el entorno sea más resistente ante ataques similares en el futuro. Lamentablemente, este paso suele pasarse por alto o las tareas se reparten entre equipos de TI que trabajan de forma aislada, por lo que pueden quedar en el olvido. Tanium elimina estos compartimentos estancos gracias a una plataforma que permite la detección, la investigación y la corrección en tiempo real, todo ello desde una única consola. Una actualización reciente del módulo Tanium Protect incluye nuevas funciones diseñadas para agilizar el proceso de corrección y garantizar que estas amenazas se eliminan de forma definitiva. En esta entrada del blog se describirán los pasos necesarios para orientar a los cazadores de amenazas a la hora de rastrear su entorno en busca de artefactos maliciosos y utilizar la nueva funcionalidad de corrección del módulo Tanium Protect.
Desde el principio: se publica un informe sobre inteligencia de amenazas
Una de las tareas habituales de cualquier especialista en detección de amenazas consiste en identificar la presencia de artefactos maliciosos específicos, ya procedan de fuentes de inteligencia de pago o de código abierto. Por lo general, los especialistas en detección de amenazas identifican los indicadores de compromiso (IOC) y buscan estos rastros en su entorno para determinar si se han visto afectados. Tanium dispone de múltiples métodos para ofrecer esta funcionalidad de búsqueda, y ahora tomar medidas en los terminales afectados nunca ha sido tan sencillo. En este ejemplo, analizaremos el flujo de trabajo habitual de inteligencia sobre amenazas a partir de fuentes de inteligencia con el fin de llevar a cabo una limpieza, garantizando que los archivos y otros indicadores de amenaza (IOC) se eliminen de forma permanente de los terminales afectados.
Una de las primeras tareas que hay que llevar a cabo en cualquier ejercicio de búsqueda de amenazas es identificar los indicadores o elementos que hay que buscar en el entorno. En este ejemplo, utilizaremos un informe de inteligencia sobre amenazas de US-CERT relativo al malware Backoff, un keylogger basado en memoria que, según se sabe, ataca a los sistemas de punto de venta del sector minorista.
Figura 1: Extracto del informe sobre el malware «Backoff» elaborado por el US-CERT
Este informe proporciona varios indicadores de amenaza (IOC), entre los que se incluyen nombres de archivos, valores hash de archivos y entradas del Registro. Es posible copiar este informe completo y crear una alerta de Signal o un indicador de OpenIOC para realizar una búsqueda en el entorno en cuestión de minutos. No obstante, a efectos de demostración, validaremos estos resultados de forma manual.
Búsqueda en la empresa
El primer elemento del sistema de archivos que debe buscarse es el archivo malicioso «javaw.exe», ubicado en la ruta «C:\Users\\AppData\\Roaming\\OracleJava\\». El sensor de Tanium «Archivo de consulta de índice y hash» devuelve la ruta, el nombre y el hash de los archivos de índice que coinciden con los parámetros de búsqueda proporcionados. En este ejemplo, indicamos la ruta y el hash que se deben buscar, y se devuelven todas las instancias.
Figura 2: Resultado del sensor «Index Query File and Hash» que confirma la presencia de archivos binarios de Backoff
A partir de esta consulta, podemos observar que hay varios archivos maliciosos presentes en el entorno que deben eliminarse. Antes de comenzar con las medidas correctivas, analicemos los demás indicadores del informe para asegurarnos de que no se pasen por alto otros elementos relevantes.
Gracias al sensor «Detalles del programa AutoRun», podemos analizar rápidamente todos los archivos binarios persistentes de toda la empresa. Dado que nos interesan las entradas del Registro relacionadas con nuestro informe de inteligencia sobre Backoff, podemos utilizar el filtro situado a la derecha, justo encima de la tabla de resultados, para limitar los resultados únicamente a aquellos que incluyan el hash del malware. Ahora sabemos que este malware cuenta con múltiples ubicaciones de persistencia.
Figura 3: Datos del sensor «Detalles del programa AutoRun», en los que se identifican los mecanismos de persistencia del backoff
El sensor de Tanium «Obtener el contenido de la carpeta» proporciona el contenido de cualquier carpeta especificada. Al ejecutar esto, podemos comprobar que los demás IOC del informe de Backoff están, de hecho, presentes.
Figura 4: Resultado del sensor «Obtener contenido de la carpeta», que confirma la presencia de artefactos de «Backoff» adicionales
Elaboración de una política de remediación para la limpieza
En resumen, hemos comprobado que en el entorno existen elementos procedentes del informe de inteligencia sobre amenazas «Backoff» y que es necesario proceder a su eliminación. Mediante el uso de los sensores mencionados anteriormente, debemos llevar a cabo las siguientes acciones:
- Cierre el proceso «javaw.exe»
- Elimine los archivos «javaw.exe» y «log.txt»
- Eliminar valores del Registro:
- «HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Servicio de Windows NT»
- «HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service»
Podemos crear una nueva política de corrección de Protect accediendo a la sección «Políticas» del módulo Tanium Protect; la opción para crear una nueva política se encuentra en la esquina superior derecha.
Figura 5: Página de configuración de políticas de Tanium Protect
Una vez seleccionada, se cargará la página de configuración «Añadir política». Aquí puede introducir el nombre, la descripción y el tipo de la política. Rellene los datos y seleccione «Remediación» como tipo de política.
Figura 6: Página de creación de políticas de corrección de Tanium Protect
Una vez seleccionado el tipo de política de corrección, aparecerá a continuación un conjunto de opciones para configurar dicha política. Al seleccionar «Añadir tarea», aparecerán opciones para realizar acciones en los terminales. Tal y como se ha indicado anteriormente, las tareas necesarias para nuestro ejemplo son: detener un proceso, eliminar un archivo y eliminar una clave del Registro.
En primer lugar, seleccionaremos «Finalizar proceso» e indicaremos el nombre del proceso. En el flujo de trabajo de corrección se dispone de una opción para especificar un periodo de tiempo de espera, así como de la posibilidad de establecer un número de intentos de reintento. Una vez introducida una tarea, es posible seleccionar «Añadir tarea» para añadir pasos adicionales a la política de corrección. La siguiente tarea es «Eliminar archivo». Introduzca la ruta que desea eliminar. Se pueden introducir tareas adicionales, tal y como se muestra en la captura de pantalla que figura a continuación, para realizar más acciones.
Tenga en cuenta que se pueden utilizar caracteres comodín en la ruta para gestionar variables como los perfiles de usuario. Además, una vez introducidas varias tareas, se puede modificar el orden de las mismas seleccionando el área situada junto al número de la tarea y arrastrándola hasta la posición deseada. La gestión de errores se puede configurar en cada tarea, de modo que la política pueda interrumpirse o ignorarse si se produce un error. Una vez introducidas todas las tareas, seleccione el botón «Crear» y se creará la política.
Figura 7: La tarea de corrección completa creada para eliminar los rastros del malware Backoff.
El siguiente paso consiste en decidir qué sistemas o grupos de ordenadores deben aplicar la política. Seleccione el botón «Añadir medida de cumplimiento».
Figura 8: La política de corrección tras su elaboración, pero antes de su aplicación.
En esta página se ofrecen varias opciones para seleccionar grupos dinámicos de ordenadores u ordenadores concretos por su nombre a efectos de la aplicación de las medidas correctivas. Las tareas de aplicación de medidas correctivas pueden ejecutarse una sola vez o programarse para que se repitan a intervalos definidos, con el fin de garantizar que se corrijan los sistemas que se vean afectados recientemente.
Figura 9: Las opciones de aplicación de la política de corrección.
Una vez que se aplique la política, los ordenadores afectados informarán de qué tareas eran aplicables y se han aplicado correctamente. En la captura de pantalla que se muestra a continuación, puede observarse que la política se ha aplicado correctamente; al analizar los resultados en detalle, también se puede comprobar que se han ejecutado todas las tareas
Figura 10: Página de resultados de la política en la que se muestra el estado de su aplicación y otros detalles sobre la misma.
Ahora que sabemos lo fácil que resulta crear y gestionar tareas de corrección, el último paso consiste en comprobar que la tarea se ha completado correctamente. Tenga en cuenta que las tareas de corrección pueden configurarse para que se repitan a intervalos periódicos. En caso de que vuelva a aparecer alguno de los elementos enumerados en la tarea de corrección, se indicará un conflicto en el estado de la tarea para informar al usuario de un posible problema. Gracias a esta nueva funcionalidad, podemos incorporar la fase de corrección de un incidente a nuestros flujos de trabajo de Tanium.
Figura 11: Desglose de los resultados de la corrección, en el que se detallan cada uno de los pasos de la política y las medidas adoptadas.
Ponerlo todo en contexto
Estas nuevas funciones permiten a los responsables de la gestión de incidentes organizar y gestionar múltiples políticas de corrección. Esto convierte un proceso notoriamente laborioso en un flujo de trabajo sencillo y optimizado. Al acelerar la fase de corrección, el personal encargado de la gestión de incidentes puede centrarse rápidamente en las tareas de recuperación y seguir garantizando la resiliencia de la red.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
Acerca del autor: Aaron Goldstein es director del equipo de detección y respuesta en terminales (EDR) de Tanium. Se incorporó a Tanium tras 9 años de experiencia en consultoría de respuesta ante incidentes y gestión de inteligencia sobre amenazas. Cuando no está obsesionado con proteger el mundo, a Aaron le gusta viajar a lugares recónditos y hacer senderismo.
