Windows IR: задачи, автозапуск, учётные записи и журналы

Продолжение разбора методологии реагирования на инциденты безопасности в операционных системах семейства Windows охватывает углубленный анализ механизмов закрепления стороннего ПО. В данном материале подробно рассматриваются задачи планировщика, точки автозапуска в реестре, локальные группы и учетные записи, а также детальный анализ журналов событий для построения точной хронологии инцидента.

Специалисты по информационной безопасности при расследовании киберинцидентов часто сталкиваются с необходимостью выявлять скрытые точки персистентности. В этом контексте проверка задач планировщика и реестра позволяет обнаружить нелегитимную активность, которая остается незаметной при поверхностной проверке системы.

Анализ задач планировщика

Задачи в планировщике Windows отличаются от служб тем, что срабатывают по определенным триггерам: наступлению заданного времени, входу конкретного пользователя, запуску системы или появлению определенной записи в системных журналах.

Отсеять задачи Microsoft

Все элементы, созданные вручную пользователями или потенциальным злоумышленником, попадают в корневой каталог. Их следует исследовать в первую очередь с помощью фильтрации путей. Задачи, созданные корпорацией Microsoft, временно откладываются для последующего анализа, чтобы не тратить ресурс на проверку штатных компонентов.

Отфильтровать по тому, что задача запускает

Для поиска подозрительной активности применяются PowerShell-скрипты, отсеивающие объекты по исполняемым файлам вроде cmd, powershell или запуску из каталогов вроде ProgramData и AppData. Полученные кандидаты со странными именами проверяются через графический интерфейс или специализированные утилиты.

Autorunsc по задачам

Для быстрой инспекции планировщика используется утилита Autorunsc из состава Sysinternals Suite. Запуск с параметром ограничения по задачам и добавлением хэшей позволяет оперативно собрать необходимые контрольные суммы и параметры.

Задачи как файлы

Каждая задача физически хранится в формате XML-файла в директории System32\Tasks. Анализ дат модификации файлов через столбец LastWriteTime помогает выявить подозрительные объекты, созданные в период временного окна инцидента, а также прочитать их содержимое напрямую.

Журнал планировщика

Специальный операционный журнал планировщика задач фиксирует факты регистрации и фактического запуска объектов. Анализ этих записей позволяет связать запуск конкретной задачи с идентификатором процесса в журнале безопасности.

Что мы получили

В ходе демонстрационного разбора были выявлены две вредоносные задачи. Первая отвечает за запуск телеметрии и выполнение скрипта, связывающегося с внешним IP-адресом. Вторая задача запускает иной скрипт из пользовательского профиля. Анализ командной строки демонстрирует использование скрытого стиля окон, обход политик выполнения и отсутствие загрузки профиля, что является классическими признаками вредоносной автоматизации.

Проверка точек автозапуска

Для комплексного изучения параметров автоматического запуска программ применяются как командная строка утилиты Autorunsc, так и ручной аудит ветки реестра, включая разделы Run и RunOnce для локального компьютера и отдельных пользователей.

Ключи автозапуска для текущего пользователя

Аудит параметров в ветке HKCU позволяет выявить программы, которые запускаются каждый раз при входе конкретной учетной записи в систему.

Ключи автозапуска для других пользователей

Поскольку изолированная среда не позволяет запросить Active Directory, для привязки SID к учетным записям применяется опрос локальных профилей через WMI. Загруженные кусты реестра NTUSER.dat проверяются на наличие подозрительных записей в разделах Run.

Ключи автозапуска для всех пользователей

Проверка глобальных веток реестра HKLM выявляет элементы, затрагивающие всех участников системы, включая временные или служебные механизмы выполнения.

Ключи WOW6432Node

В разделах для 32-битных приложений на 64-битной версии операционной системы также могут скрываться параметры автозагрузки, требующие отдельного осмотра.

Ключи Winlogon

Инициализация сеанса пользователя сопровождается проверкой параметров Shell и Userinit в ветке Winlogon. Наличие сторонних исполняемых файлов или библиотек в этих ключах указывает на компрометацию.

BootExecute

Параметр отвечает за выполнение служебных процедур проверки диска до полной загрузки графической оболочки Windows и также проверяется на целостность.

Папки автозагрузки

Классические директории автозагрузки в профилях пользователей и общесистемной папке ProgramData проверяются на наличие сторонних ярлыков, скриптов и исполняемых файлов.

Учетные записи и группы

Помимо проверки точек персистентности, важно убедиться, что злоумышленник не создал новых пользователей, не активировал заблокированные записи и не расширил привилегии существующих субъектов.

Локальные учетные записи

Вывод списка всех локальных пользователей помогает отследить даты последних входов и смены паролей.

Группа локальных админов

Обращение к группе администраторов по неизменяемому SID позволяет безошибочно определить состав участников с максимальными привилегиями вне зависимости от локализации ОС.

Пользователи удаленного рабочего стола

Аудит терминальных групп определяет круг лиц, имеющих легитимное право на удаленное подключение к серверу через протокол RDP.

Анализ журналов событий

Исследование системных логов на финальном этапе позволяет выстроить строгую хронологию инцидента и связать разрозненные артефакты в единую картину.

Промежуточный список находок

Сопоставление времени входа пользователя, обнаруженных сетевых обращений, дат создания вредоносных служб и задач планировщика формирует предварительный контекст атаки.

Проверка журнала LocalSessionManager/Operational

Анализ RDP-подключений по событиям входа и отключения сеансов задает временной интервал для дальнейшего углубленного поиска.

Поиск событий 4688 в заданном интервале

Фильтрация событий создания процессов по ключевым словам позволяет восстановить цепочку запуска от распаковки архива в браузере до выполнения командной строки и служебных скриптов.

Проверка журналов Powershell, System, Защитник Windows

Дополнительный анализ журналов выполнения скриптов PowerShell, контроллера служб и защитного программного обеспечения подтверждает точное время установки вредоносных компонентов и реакцию антивирусных средств.

Заключение

Методика поиска закреплений в планировщике задач, реестре и системных журналах позволяет восстановить события по секундам даже при наличии зачищенных следов. Полученные данные используются для формирования итогового таймлайна и сбора необходимых улик.