yeriej77/threat-hunting-scenario-tor

# 威胁狩猎报告：未经授权的 Tor Browser 使用 ## 使用的平台和语言 - Windows 11 虚拟机 - EDR 平台：Microsoft Defender for Endpoint - Kusto Query Language (KQL) - Tor Browser Portable ## 场景 管理层请求进行一次威胁狩猎，以确定企业 Windows 端点上是否使用了 Tor Browser。使用 Tor Browser 可能会允许用户绕过正常的 Web 过滤、隐藏浏览活动，并通过 Tor 网络建立加密连接。 本次狩猎的重点是端点 `win-11-mde` 和账户 `azureuser`。调查审查了与 Tor Browser 活动相关的文件、进程和网络遥测数据。目标是确定 Tor Browser 是否被下载、安装或解压、执行，并用于发起网络连接。 ### 高级别 Tor 相关 IoC 发现计划 - 检查 `DeviceFileEvents` 以查找与 Tor 相关的文件活动，包括安装程序文件、解压的 Tor 文件、快捷方式以及在大致相同时间创建的可疑文件。 - 检查 `DeviceProcessEvents` 以查找 Tor Browser 的安装、解压和执行活动。 - 检查 `DeviceNetworkEvents` 以查找 `tor.exe` 或 Tor Browser 的 Firefox 进程通过已知 Tor 相关端口发起的出站连接。 - 将文件、进程和网络活动关联到一个按时间顺序排列的时间线中。 ## 狩猎范围 - 字段 值 - 设备 `win-11-mde` - 用户 `azureuser` - 初始事件时间 `2026-05-26T14:42:56.3208383Z` - 观察到的主要安装程序 `tor-browser-windows-x86_64-portable-15.0.14.exe` - 观察到的 Tor Browser 路径 `C:\Users\azureuser\Desktop\Tor Browser\` - 主要 Tor 可执行文件 `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` ## 采取的步骤 1. 搜索 `DeviceFileEvents` 表 我搜索了 `DeviceFileEvents`，从首次观察到的事件时间开始查找 `win-11-mde` 上与 Tor 相关的文件活动。结果显示，Tor Browser 便携版安装程序出现在用户的“下载”文件夹中，并在不久后被删除，随后在用户桌面路径下创建了 Tor Browser 文件。 文件活动包括 Tor 可执行文件 `tor.exe`、Tor Browser 快捷方式文件以及与 Tor 相关的许可证/文档文件。狩猎笔记还识别出了一个名为 `Darkweb_shopping list.txt` 的可疑文件，该文件于 `2026-05-26T17:49:41.9425401Z` 在桌面上创建。 ``` DeviceFileEvents | where DeviceName == "win-11-mde" | where FileName startswith "tor" | where Timestamp >= datetime(2026-05-26T14:42:56.3208383Z) | order by Timestamp desc | project Timestamp, DeviceName, ActionType, FileName, FolderPath, SHA256, Account = InitiatingProcessAccountName ``` #### 关键发现： - UTC 时间戳 操作 文件 路径 - `2026-05-26T14:42:56Z` 文件重命名 `tor-browser-windows-x86_64-portable-15.0.14.exe` `C:\Users\azureuser\Downloads\tor-browser-windows-x86_64-portable-15.0.14.exe` - `2026-05-26T14:43:01Z` 文件创建 `tor-browser-windows-x86_64-portable-15.0.14.exe` `C:\Users\azureuser\Downloads\tor-browser-windows-x86_64-portable-15.0.14.exe` - `2026-05-26T14:43:04Z` 文件删除 `tor-browser-windows-x86_64-portable-15.0.14.exe` `C:\Users\azureuser\Downloads\tor-browser-windows-x86_64-portable-15.0.14.exe` - `2026-05-26T14:43:20Z` 文件创建 `tor.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` - `2026-05-26T14:43:20Z` 文件创建 `tor.txt`, `Torbutton.txt`, `Tor-Launcher.txt` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Docs\Licenses\` - `2026-05-26T14:43:25Z` 文件创建 `Tor Browser.lnk` `C:\Users\azureuser\Desktop\Tor Browser\Tor Browser.lnk` - `2026-05-26T14:45:15Z` 文件创建 `Tor Browser.lnk` `C:\Users\azureuser\Desktop\Tor Browser.lnk` - `2026-05-26T14:45:15Z` 文件创建 `Tor Browser.lnk` `C:\Users\azureuser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Tor Browser.lnk` - `2026-05-26T14:51:33Z` 文件删除 `tor.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` - `2026-05-26T14:59:24Z` 文件创建 `tor.txt`, `Torbutton.txt`, `Tor-Launcher.txt` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Docs\Licenses\` - `2026-05-26T17:49:41Z` 文件创建 `Darkweb_shopping list.txt` 在狩猎笔记中识别出的桌面路径 2. 搜索 `DeviceProcessEvents` 表以查找安装程序执行情况 我搜索了 `DeviceProcessEvents`，查找 Tor Browser 便携版安装程序的命令行。结果显示，`azureuser` 使用 `/S` 静默标志从“下载”文件夹中执行了 Tor Browser 便携版安装程序。 用于定位该事件的查询： ``` DeviceProcessEvents | where DeviceName == "win-11-mde" | where AccountName == "azureuser" | where ProcessCommandLine contains "tor-browser-windows-x86_64-portable-15.0.14.exe" | where Timestamp >= datetime(2026-05-26T14:42:56.3208383Z) | order by Timestamp asc | project Timestamp, DeviceName, AccountName, ActionType, FileName, FolderPath, SHA256, ProcessCommandLine ``` #### 关键发现： - UTC 时间戳 用户 操作 文件 命令行 - `2026-05-26T14:59:00Z` `azureuser` 进程创建 `tor-browser-windows-x86_64-portable-15.0.14.exe` `tor-browser-windows-x86_64-portable-15.0.14.exe /S` 3. 搜索 `DeviceProcessEvents` 表以查找 Tor Browser 执行情况 我搜索了与 Tor 相关的进程，包括 `tor.exe`、`firefox.exe` 和 `tor-browser.exe`。首次观察到 Tor Browser 启动发生在 `2026-05-26T14:45:15Z`，当时从 Tor Browser 桌面目录中创建了多个 `firefox.exe` 进程。紧接着，从 Tor Browser 路径启动了 `tor.exe`。 在 `2026-05-26T15:03:16Z` 左右以及 `2026-05-26T17:43:27Z` 左右观察到了额外的 Tor Browser 进程活动，表明存在多个 Tor Browser 会话。 用于定位事件的查询： ``` DeviceProcessEvents | where DeviceName == "win-11-mde" | where FileName has_any ("tor.exe", "firefox.exe", "tor-browser.exe") | project Timestamp, DeviceName, ActionType, FileName, FolderPath, SHA256, Account = InitiatingProcessAccountName ``` #### 关键发现： - UTC 时间戳 用户 操作 文件 路径 - `2026-05-26T14:45:15Z` `azureuser` 进程创建 `firefox.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\firefox.exe` - `2026-05-26T14:45:17Z` `azureuser` 进程创建 `tor.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` - `2026-05-26T15:03:16Z` `azureuser` 进程创建 `firefox.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\firefox.exe` - `2026-05-26T15:03:19Z` `azureuser` 进程创建 `tor.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` - `2026-05-26T17:43:27Z` `azureuser` 进程创建 `firefox.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\firefox.exe` - `2026-05-26T17:43:28Z` `azureuser` 进程创建 `tor.exe` `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` 4. 搜索 `DeviceNetworkEvents` 表以查找 Tor 网络连接 我搜索了 `DeviceNetworkEvents`，查找由 `tor.exe` 或 Tor Browser 的 Firefox 进程使用已知 Tor 相关端口发起的网络连接。结果显示，`tor.exe` 通过 `9001`、`443` 和 `80` 端口向远程 IP 地址发起了多次出站连接。浏览器进程还尝试连接本地 Tor 代理 `127.0.0.1:9150` 并最终连接成功。 用于定位事件的查询： ``` DeviceNetworkEvents | where DeviceName == "win-11-mde" | where InitiatingProcessAccountName != @"system" | where InitiatingProcessFileName in ("tor.exe", "firefox.exe") | where RemotePort in ("9001", "9030", "9040", "9050", "9051", "9150", "443", "80") | project Timestamp, DeviceName, InitiatingProcessAccountName, ActionType, RemoteIP, RemotePort, InitiatingProcessFileName, InitiatingProcessFolderPath | order by Timestamp desc ``` #### 关键发现： - UTC 时间戳 用户 操作 远程 IP 远程端口 进程 - `2026-05-26T14:45:49Z` `azureuser` 连接失败 `127.0.0.1` `9150` `firefox.exe` - `2026-05-26T14:45:52Z` `azureuser` 连接成功 `18.18.82.18` `9001` `tor.exe` - `2026-05-26T14:45:53Z` `azureuser` 连接成功 `79.141.174.124` `9001` `tor.exe` - `2026-05-26T14:45:53Z` `azureuser` 连接成功 `135.181.19.99` `80` `tor.exe` - `2026-05-26T14:46:02Z` `azureuser` 连接成功 `127.0.0.1` `9150` `firefox.exe` - `2026-05-26T15:03:27Z` `azureuser` 连接成功 `138.197.166.92` `443` `tor.exe` - `2026-05-26T15:03:29Z` `azureuser` 连接成功 `51.158.204.114` `443` `tor.exe` - `2026-05-26T15:03:29Z` `azureuser` 连接成功 `64.65.0.100` `443` `tor.exe` - `2026-05-26T15:03:46Z` `azureuser` 连接失败 `79.116.0.2` `9001` `tor.exe` ### 事件时间线 #### UTC 时间戳 事件类别 描述 证据 - `2026-05-26T14:42:56Z` 文件活动 Tor Browser 便携版安装程序在用户的“下载”文件夹中被重命名或出现。 `tor-browser-windows-x86_64-portable-15.0.14.exe` 的 `FileRenamed` - `2026-05-26T14:43:01Z` 文件活动 在用户的“下载”文件夹中创建了 Tor Browser 便携版安装程序。 `tor-browser-windows-x86_64-portable-15.0.14.exe` 的 `FileCreated` - `2026-05-26T14:43:04Z` 文件活动 Tor Browser 便携版安装程序已从“下载”文件夹中删除。 `tor-browser-windows-x86_64-portable-15.0.14.exe` 的 `FileDeleted` - `2026-05-26T14:43:20Z` 文件活动 在桌面 Tor Browser 路径下创建了 Tor Browser 文件，包括 `tor.exe` 和与 Tor 相关的文档/许可证文件。 `C:\Users\azureuser\Desktop\Tor Browser\` 下的 `FileCreated` 事件 - `2026-05-26T14:43:25Z` 文件活动 在桌面 Tor Browser 文件夹内创建了 Tor Browser 快捷方式。 `Tor Browser.lnk` 的 `FileCreated` - `2026-05-26T14:45:15Z` 文件活动 在桌面和“开始”菜单上创建了 Tor Browser 快捷方式。 `Tor Browser.lnk` 的 `FileCreated` - `2026-05-26T14:45:15Z` 进程活动 这是首次观察到 Tor Browser 通过创建多个 `firefox.exe` 进程而启动。 `firefox.exe` 的 `ProcessCreated` - `2026-05-26T14:45:17Z` 进程活动 Tor 服务组件启动。 `tor.exe` 的 `ProcessCreated` - `2026-05-26T14:45:49Z` 网络活动 Tor Browser 的 Firefox 进程尝试连接到本地 Tor 代理。 `firefox.exe` 对 `127.0.0.1:9150` 的 `ConnectionFailed` - `2026-0526T14:45:52Z` 网络活动 Tor 服务在 Tor 相关端口上建立了出站网络活动。 `tor.exe` 对 `18.18.82.18:9001` 的 `ConnectionSuccess` - `2026-05-26T14:45:53Z` 网络活动 Tor 服务在另一个 Tor 相关端口上建立了出站连接。 `tor.exe` 对 `79.141.174.124:9001` 的 `ConnectionSuccess` - `2026-05-26T14:45:53Z` 网络活动 Tor 服务通过 `80` 端口建立了出站网络活动。 `tor.exe` 对 `135.181.19.99:80` 的 `ConnectionSuccess` - `2026-05-26T14:46:02Z` 网络活动 Tor Browser 的 Firefox 进程成功连接到本地 Tor 代理。 `firefox.exe` 对 `127.0.0.1:9150` 的 `ConnectionSuccess` - `2026-05-26T14:46:03Z` 进程活动 在本地代理连接成功后，发生了额外的 Tor Browser Firefox 进程活动。 `firefox.exe` 的 `ProcessCreated` - `2026-05-26T14:51:33Z` 文件活动 `tor.exe` 已从桌面 Tor Browser 文件夹中删除。 `tor.exe` 的 `FileDeleted` - `2026-05-26T14:59:00Z` 进程活动 Tor Browser 便携版安装程序使用 `/S` 静默标志执行。 使用 `/S` 命令行安装程序的 `ProcessCreated` - `2026-05-26T14:59:24Z` 文件活动 再次创建了与 Tor 相关的文档/许可证文件，这与另一次解压或安装事件一致。 `tor.txt`、`Torbutton.txt` 和 `Tor-Launcher.txt` 的 `FileCreated` - `2026-05-26T15:03:16Z` 进程活动 Tor Browser 再次启动。 `firefox.exe` 的 `ProcessCreated` - `2026-05-26T15:03:19Z` 进程活动 Tor 服务组件再次启动。 `tor.exe` 的 `ProcessCreated` - `2026-05-26T15:03:27Z` 网络活动 Tor 服务通过 HTTPS 建立了出站活动。 `tor.exe` 对 `138.197.166.92:443` 的 `ConnectionSuccess` - `2026-05-26T15:03:29Z` 网络活动 Tor 服务通过 HTTPS 建立了出站活动。 `tor.exe` 对 `51.158.204.114:443` 的 `ConnectionSuccess` - `2026-05-26T15:03:29Z` 网络活动 Tor 服务通过 HTTPS 建立了出站活动。 `tor.exe` 对 `64.65.0.100:443` 的 `ConnectionSuccess` - `2026-05-26T15:03:46Z` 网络活动 Tor 服务尝试通过 `9001` 端口连接到另一个远程主机，但连接失败。 `tor.exe` 对 `79.116.0.2:9001` 的 `ConnectionFailed` - `2026-05-26T17:43:27Z` 进程活动 第三次观察到 Tor Browser 启动。 `firefox.exe` 的 `ProcessCreated` - `2026-05-26T17:43:28Z` 进程活动 Tor 服务组件在第三次观察到的会话中启动。 `tor.exe` 的 `ProcessCreated` - `2026-05-26T17:49:41Z` 文件活动 狩猎笔记识别出在使用 Tor Browser 后于桌面创建了 `Darkweb_shopping list.txt`。 狩猎笔记中识别出的文件创建 ### 攻陷指标与值得注意的痕迹 #### 类型 指标 - 设备 `win-11-mde` - 用户 `azureuser` - 安装程序 `tor-browser-windows-x86_64-portable-15.0.14.exe` - 安装程序 SHA256 `f4048faea4c26e0241104ebb6cb0979937532961737ea5d87e5387196a8116ae` - Tor 可执行文件 `C:\Users\azureuser\Desktop\Tor Browser\Browser\TorBrowser\Tor\tor.exe` - Tor 可执行文件 SHA256 `1e02f3d7074d82d9ce76ea3dcf9a9d6fcc68f25745888c47e7eee88fd6b67cb9` - Tor Browser Firefox 路径 `C:\Users\azureuser\Desktop\Tor Browser\Browser\firefox.exe` - Tor Browser Firefox SHA256 `51534655250d77174ef98a69dd065d6714a39375795828688283e9a40d04be0d` - 本地 Tor 代理活动 `127.0.0.1:9150` - 观察到的远程 IP `18.18.82.18`, `79.141.174.124`, `135.181.19.99`, `138.197.166.92`, `51.158.204.114`, `64.65.0.100`, `79.116.0.2` - 观察到的远程端口 `9001`, `443`, `80` - 狩猎笔记中用户创建的可疑文件 `Darkweb_shopping list.txt` ### 总结 - 调查确认了端点 `win-11-mde` 上的账户 `azureuser` 存在 Tor Browser 活动。 - 活动始于 `2026-05-26T14:42:56Z` 左右，当时 Tor Browser 便携版安装程序出现在用户的“下载”文件夹中。不久之后，在 `C:\Users\azureuser\Desktop\Tor Browser\` 下创建了 Tor Browser 文件，包括主要 Tor 可执行文件 `tor.exe`、Tor Browser 快捷方式以及与 Tor 相关的支持文件。 - 在 `2026-05-26T14:45:15Z`，首次观察到 Tor Browser 通过 Tor Browser 的 Firefox 进程启动。Tor 服务组件 `tor.exe` 随后于 `2026-05-26T14:45:17Z` 启动。随后，网络遥测数据显示了与 Tor Browser 使用一致的活动，包括 `127.0.0.1:9150` 上的本地代理通信，以及 `tor.exe` 通过端口 `9001`、`443` 和 `80` 向远程 IP 地址发起的出站连接。 - 用户多次启动 Tor Browser，并在 `2026-05-26T15:03:16Z` 和 `2026-05-26T17:43:27Z` 左右观察到了额外的会话。网络证据显示了成功的出站 Tor 相关连接，以及对 `79.116.0.2:9001` 的一次失败连接尝试。 - 狩猎笔记还识别出在 `2026-05-26T17:49:41Z`（即第三次观察到 Tor Browser 启动后不久）在桌面上创建了一个名为 `Darkweb_shopping list.txt` 的文件。该文件名与调查相关，因为它可能表明用户存在与暗网浏览相关的活动或意图。 - 总体而言，文件、进程和网络证据表明，Tor Browser 已被安装或解压、多次启动，并被 `azureuser` 用来在 `win-11-mde` 上发起 Tor 相关的网络活动。 ### 建议响应 - 确认组织策略是否允许使用 Tor Browser。 - 保留导出的狩猎证据和相关的 MDE Advanced Hunting 结果。 - 如果获得授权，请审查 `Darkweb_shopping list.txt` 的内容和元数据。 - 如果未经授权，请从端点中移除 Tor Browser。 - 审查用户 `azureuser` 的其他浏览、文件和网络活动。 - 根据组织的可接受使用和事件响应程序，通知管理层或安全主管。 ### 最终判定 已确认 `azureuser` 在 `win-11-mde` 上使用了 Tor Browser。证据包括 Tor Browser 文件创建、安装程序执行、与 Tor 相关的进程执行、本地代理活动以及由 `tor.exe` 发起的出站连接。

标签：KQL, Tor, 端点检测与响应, 脱壳工具