shadykamal328-soc/conti-ransomware-incident-response

## 📋 目录 | # | 章节 | |---|---------| | 1 | [项目概述](#-project-overview) | | 2 | [调查范围](#-investigation-scope) | | 3 | [目标](#-objectives) | | 4 | [工具与数据源](#-tools--data-sources) | | 5 | [调查工作流](#-investigation-workflow) | | 6 | [攻击时间线](#-attack-timeline) | | 7 | [IOC 汇总](#-ioc-summary) | | 8 | [MITRE ATT&CK 汇总](#-mitre-attck-summary) | | 9 | [检测汇总](#-detection-summary) | | 10 | [经验教训](#-lessons-learned) | | 11 | [仓库结构](#-repository-structure) | | 12 | [调查问题](#-investigation-questions) | | 13 | [参考资料](#-references) | ## 🔍 项目概述 本仓库记录了针对企业 Windows 环境中 **Conti 勒索软件**入侵的一次完整的、端到端的数字取证与应急响应 (DFIR) 调查。调查侧重于严谨的方法论 —— 关联多个日志源、在证据之间进行追踪、提取失陷标示 (IOC)，并将所有攻击者行为映射到 **MITRE ATT&CK** 框架。 **威胁行为者画像:** Conti 是一个复杂的勒索软件即服务 组织，以利用面向互联网的漏洞（特别是 Microsoft Exchange）、部署 web shell 以实现持久化、进行手动键盘操作的后渗透以及在加密受害者数据的同时威胁发布窃取的信息而闻名。 **受影响主机:** `WIN-AOQKG2AS2Q7` (Exchange Server) **域名:** `bellybear.local` **勒索软件二进制文件:** `C:\Users\Administrator\Documents\cmd.exe` **勒索说明:** `readme.txt`（在多个目录中释放） ## 🎯 调查范围 | 范围项目 | 详情 | |-----------|--------| | **受影响系统** | `WIN-AOQKG2AS2Q7` | | **域名** | `bellybear.local` | | **攻击向量** | 面向互联网的 Microsoft Exchange Server | | **日志源** | Sysmon, Windows Security, IIS | | **SIEM** | Splunk | | **威胁家族** | Conti 勒索软件 | | **调查期** | 完整的入侵生命周期 — 从初始访问到加密 | | **利用的 CVE** | CVE-2020-0796, CVE-2018-13374, CVE-2018-13379 | ## 🎯 目标 - [ ] 识别勒索软件二进制文件及其在磁盘上的位置 - [ ] 确定哪个 Sysmon 事件捕获了勒索软件活动 - [ ] 提取恶意软件 MD5 哈希用于威胁情报关联 - [ ] 识别勒索说明文件名及其传播方式 - [ ] 恢复用于创建后门本地账户的确切命令 - [ ] 追踪从 PowerShell 到系统进程的进程注入 - [ ] 识别凭据访问目标进程 - [ ] 发现植入 Exchange 服务器上的 web shell - [ ] 恢复用于修改 web shell 属性的命令 - [ ] 将所有漏洞利用映射到 CVE 标识符 ## 🛠 工具与数据源

点击展开 — 工具与技术

### SIEM 与日志分析 | 工具 | 用途 | |------|---------| | **Splunk** | 用于日志聚合、搜索和关联的主要 SIEM | | **Sysmon** | 内核级遥测 — 文件创建、进程注入、网络连接 | | **Windows Security Event Log** | 账户创建 (Event 4720)、登录事件 | | **IIS Logs** | 通过 HTTP POST 请求的 web shell 访问 | ### 威胁情报 | 资源 | 用途 | |---------|---------| | **VirusTotal** | 哈希信誉和恶意软件家族确认 | | **MITRE ATT&CK** | 行为映射和技术识别 | | **CVE Database (NVD)** | 漏洞识别和评分 | ### 取证技术 | 技术 | 应用于 | |----------|-----------| | 文件创建监控 | 勒索说明传播 (Sysmon EID 11) | | 进程注入检测 | PowerShell → unsecapp.exe (Sysmon EID 8) | | 凭据访问检测 | 针对 LSASS (Sysmon EID 8) | | Web shell 检测 | IIS POST 日志 → aspx 文件 | | 账户创建取证 | Windows Security EID 4720 |

## 🔄 调查工作流 ``` ┌─────────────────────────────────────────────────────────────┐ │ INVESTIGATION WORKFLOW │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 1. INITIAL TRIAGE │ │ └─ Sysmon Event ID 11 → ransom note file creation │ │ │ │ 2. BINARY IDENTIFICATION │ │ └─ Pivot to Image field → cmd.exe in Documents/ │ │ │ │ 3. HASH EXTRACTION │ │ └─ Splunk Hashes field → MD5 correlation in VirusTotal │ │ │ │ 4. PERSISTENCE & LATERAL MOVEMENT │ │ └─ Event 4720 → net user creation → RDP group add │ │ │ │ 5. PROCESS INJECTION │ │ └─ Sysmon Event ID 8 → PowerShell → unsecapp.exe │ │ │ │ 6. CREDENTIAL ACCESS │ │ └─ LSASS targeted via CreateRemoteThread │ │ │ │ 7. INITIAL ACCESS RECONSTRUCTION │ │ └─ IIS POST logs → web shell → Exchange OWA path │ │ │ │ 8. THREAT INTELLIGENCE │ │ └─ CVE mapping → Exchange server exploitation │ │ │ └─────────────────────────────────────────────────────────────┘ ``` ## ⏱ 攻击时间线 | 阶段 | 活动 | 关键证据 | |-------|----------|-------------| | **初始访问** | 通过 CVE-2018-13379 / CVE-2018-13374 利用面向互联网的 Exchange Server | 指向 `/owa/auth/i3gfPctK1c2x.aspx` 的 IIS POST 日志 | | **Web Shell 部署** | 在 Exchange OWA auth 路径下释放 `i3gfPctK1c2x.aspx` | Sysmon EID 11 — aspx 文件创建 | | **Web Shell 修改** | `attrib.exe -r` 修改 web shell 属性 | 进程命令行 日志 | | **执行** | PowerShell 作为主要执行引擎 | Sysmon EID 8 — SourceImage powershell.exe | | **进程注入** | PowerShell 注入到 `unsecapp.exe` | Sysmon EID 8 — CreateRemoteThread | | **凭据访问** | 针对 LSASS 内存进行凭据转储 | Sysmon EID 8 — TargetImage lsass.exe | | **持久化** | 创建本地账户 `securityninja` 并添加到管理员 + RDP | Windows Security EID 4720 | | **影响** | `cmd.exe` (勒索软件) 在各目录中释放 `readme.txt` 勒索说明 | Sysmon EID 11 — TargetFilename readme.txt | ## 🚨 IOC 汇总 | 类别 | 指标 | 描述 | |----------|-----------|-------------| | **文件 — 勒索软件** | `C:\Users\Administrator\Documents\cmd.exe` | 伪装成 cmd.exe 的勒索软件二进制文件 | | **哈希 — MD5** | `290c7dfb01e50cea9e19da81a781af2c` | 勒索软件二进制文件的 MD5 哈希 | | **文件 — 勒索说明** | `readme.txt` | 在多个目录中释放的勒索说明 | | **Web Shell** | `i3gfPctK1c2x.aspx` | 部署在 Exchange OWA auth 路径中的 ASPX web shell | | **Web Shell URI** | `/owa/auth/i3gfPctK1c2x.aspx` | 部署的 web shell 的完整 URI 路径 | | **用户账户** | `securityninja` | 攻击者创建的后门本地账户 | | **进程 — 源** | `C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe` | 进程注入源 | | **进程 — 目标** | `C:\Windows\System32\wbem\unsecapp.exe` | 进程注入目标 | | **进程 — 凭据** | `C:\Windows\System32\lsass.exe` | 凭据转储目标 | ## 🛡 MITRE ATT&CK 汇总 | 技术 ID | 名称 | 战术 | |-------------|------|--------| | [T1190](https://attack.mitre.org/techniques/T1190/) | Exploit Public-Facing Application | Initial Access | | [T1505.003](https://attack.mitre.org/techniques/T1505/003/) | Web Shell | Persistence | | [T1059.001](https://attack.mitre.org/techniques/T1059/001/) | PowerShell | Execution | | [T1055](https://attack.mitre.org/techniques/T1055/) | Process Injection | Defense Evasion / Privilege Escalation | | [T1003.001](https://attack.mitre.org/techniques/T1003/001/) | LSASS Memory | Credential Access | | [T1136.001](https://attack.mitre.org/techniques/T1136/001/) | Create Local Account | Persistence | | [T1098](https://attack.mitre.org/techniques/T1098/) | Account Manipulation | Persistence | ## 🔎 检测汇总 | 检测 | 方法 | 日志源 | |-----------|--------|-----------| | 用户目录中的勒索软件二进制文件 | Sysmon EID 11 — 来自非标准可执行文件路径的 `.txt` 文件 | Sysmon | | Web shell POST 活动 | IIS 日志过滤 — `POST *.aspx` | IIS | | 进程注入 | Sysmon EID 8 — 来自 PowerShell 的 CreateRemoteThread | Sysmon | | LSASS 访问 | Sysmon EID 8 — TargetImage lsass.exe | Sysmon | | 后门账户创建 | Windows Security EID 4720 | Windows Security | | 权限提升 | `net localgroup administrators` 命令 | Process/CommandLine | ## 📚 经验教训 1. **及时为面向互联网的应用程序打补丁** — CVE-2018-13374、CVE-2018-13379 和 CVE-2020-0796 实现了初始访问。 2. **监控 Exchange OWA 路径中的 web shell** — 写入 auth 目录的 ASPX 文件是一个关键指标。 3. **对用户文档目录中的可执行文件发出警报** — `C:\Users\...\Documents\` 中的 `cmd.exe` 是异常的。 4. **关联多个日志源** — 单靠 Sysmon 错失了全貌；IIS 日志对于重建初始访问至关重要。 5. **在证据之间进行追踪** — 每一个发现都引出下一个；进程注入的发现引出了凭据访问的发现。 6. **针对威胁情报验证哈希** — MD5 `290c7dfb01e50cea9e19da81a781af2c` 确认了与 Conti 的关联。 ## 📁 仓库结构 ``` Conti-Ransomware-Incident-Response/ │ ├── README.md ← This file — Executive overview ├── IOC.md ← Full IOC tables (files, hashes, users, commands) ├── Timeline.md ← Chronological attack timeline with MITRE mapping ├── MITRE-ATTACK.md ← Full MITRE ATT&CK technique mapping ├── Splunk-Queries.md ← All Splunk SPL queries used in investigation ├── Attack-Chain.md ← Mermaid attack chain diagram ├── Detection-Opportunities.md ← Detection rules and alerting strategies ├── Lessons-Learned.md ← Post-incident lessons and recommendations │ ├── Questions/ │ ├── Q01.md ← Ransomware binary location │ ├── Q02.md ← Sysmon Event ID identification │ ├── Q03.md ← Malware MD5 hash extraction │ ├── Q04.md ← Ransom note propagation │ ├── Q05.md ← Backdoor account creation │ ├── Q06.md ← Process injection analysis │ ├── Q07.md ← Credential access (LSASS) │ ├── Q08.md ← Web shell identification │ ├── Q09.md ← Web shell execution command │ └── Q10.md ← Threat intelligence — CVEs │ └── images/ ├── q01/ ← Screenshots for Q1 investigation ├── q02/ ← Screenshots for Q2 investigation ├── q03/ ← Screenshots for Q3 investigation ├── q04/ ← Screenshots for Q4 investigation ├── q05/ ← Screenshots for Q5 investigation ├── q06/ ← Screenshots for Q6 investigation ├── q07/ ← Screenshots for Q7 investigation ├── q08/ ← Screenshots for Q8 investigation ├── q09/ ← Screenshots for Q9 investigation └── architecture/ ← Architecture and attack chain diagrams ``` ## 🔎 调查问题 | # | 问题 | 关键发现 | |---|---------|------------| | [Q01](Questions/Q01.md) | 勒索软件二进制文件位置 | `C:\Users\Administrator\Documents\cmd.exe` | | [Q02](Questions/Q02.md) | 用于文件创建的 Sysmon Event ID | Event ID `11` | | [Q03](Questions/Q03.md) | 恶意软件 MD5 哈希 | `290c7dfb01e50cea9e19da81a781af2c` | | [Q04](Questions/Q04.md) | 在多个位置释放的文件 | `readme.txt` | | [Q05](Questions/Q05.md) | 用户创建命令 | `net user /add securityninja hardToHack123$` | | [Q06](Questions/Q06.md) | 进程注入目标 | `C:\Windows\System32\wbem\unsecapp.exe` | | [Q07](Questions/Q07.md) | 凭据访问目标 | `C:\Windows\System32\lsass.exe` | | [Q08](Questions/Q08.md) | Web shell 文件名 | `i3gfPctK1c2x.aspx` | | [Q09](Questions/Q09.md) | Web shell 执行命令 | `attrib.exe -r \\win-aoqkg2as2q7.bellybear.local\C$\...` | | [Q10](Questions/Q10.md) | 利用的 CVE | CVE-2020-0796, CVE-2018-13374, CVE-2018-13379 | ## 📖 参考资料 | 资源 | 链接 | |---------|------| | MITRE ATT&CK — Conti | https://attack.mitre.org/software/S0575/ | | CVE-2020-0796 (SMBGhost) | https://nvd.nist.gov/vuln/detail/CVE-2020-0796 | | CVE-2018-13374 (Fortinet) | https://vd.nist.gov/vuln/detail/CVE-2018-13374 | | CVE-2018-13379 (Fortinet VPN) | https://nvd.nist.gov/vuln/detail/CVE-2018-13379 | | Sysmon Event ID Reference | https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon | | Conti Ransomware CISA Advisory | https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-265a | | VirusTotal | https://www.virustotal.com/ | | Splunk SPL Documentation | https://docs.splunk.com/Documentation/Splunk/latest/SearchReference |