Das EDR zeigt eine gültig signierte Hersteller-EXE im Temp-Ordner eines Nutzers, die eine daneben liegende unsignierte DLL lädt. Wie analysieren Sie das?
Kurzantwort
Behandeln Sie es als wahrscheinliches DLL-Side-Loading. Die Signatur deckt die ausführbare Datei ab, nicht die DLL, die Windows aus dem Ordner der Anwendung auflöst; so kann ein vertrauenswürdiges Binary Angreifercode ausführen. Analysieren Sie die DLL selbst (Hash, Exporte, Importe, Verhalten), prüfen Sie, ob der Prozess normalerweise woanders liegt, suchen Sie weitere Kopien des Paars und schließen Sie den Alarm nicht anhand der Reputation der EXE.
Die Falle in diesem Szenario ist das Wort „signiert“. Eine gültige Signatur einer ausführbaren Datei ist nur ein Indiz für genau diese Datei.
Warum Side-Loading die wahrscheinliche Erklärung ist
MITRE ATT&CK beschreibt DLL-Side-Loading als das Ablegen einer Schadnutzlast neben einer legitimen Anwendung und das anschließende Starten dieser Anwendung, sodass sie den Angreifercode ausführt. Microsoft dokumentiert, warum das funktioniert: Lädt eine nicht gepackte App eine DLL ohne vollen Pfad, prüft der Loader (nach Umleitung, API-Sets, SxS-Manifest-Umleitung, Liste geladener Module und Known DLLs) den Ordner, aus dem die Anwendung geladen wurde, bevor er den Systemordner durchsucht. Microsoft warnt zudem, dass ein Angreifer, der eines der durchsuchten Verzeichnisse kontrolliert, dort eine bösartige DLL-Kopie ablegen kann. Eine Kopie einer signierten Hersteller-EXE in einem für Nutzer beschreibbaren Ordner mit einer DLL daneben passt genau.
Triage-Schritte
- Isolieren und sichern Sie das Paar und notieren Sie den vollen Pfad; ein Herstellertool liegt normalerweise an einem vertrauenswürdigen Installationsort.
- DLL analysieren: Hash, Signatur (oder deren Fehlen), Kompilierzeit, Exporte im Vergleich zur echten Bibliothek, Importe, Strings und was sie in einer Sandbox startet oder kontaktiert.
- Prozessbaum und Zeitlinie prüfen: Wie kamen beide Dateien an (Archiv, E-Mail, Download)?
- Hunting: gleicher Hash, gleiches Dateinamenpaar oder Pfadmuster im gesamten Bestand.
Erwähnenswerte Gegenmaßnahmen
MITRE nennt Anwendungskontrolle, die verdächtige DLL-Ladevorgänge blockiert, Härtung mit Hashwerten in Manifesten und aktivierten sicheren DLL-Suchmodus.
Warum die Distraktoren scheitern
- „Erbt das Vertrauen“ und „Reputation der EXE“ beurteilen beide die falsche Datei.
- „Löschen und neu starten“ vernichtet Beweise und lässt Lieferweg und weitere Kopien unberücksichtigt.
Was Interviewer hören wollen
Die Erkenntnis, dass signiert im Kontext nicht sicher heißt, plus ein disziplinierter Ablauf: DLL-Analyse, Pfad und Herkunft, Hunt im Bestand.
Wahrscheinliche Anschlussfragen
- Welche Verzeichnisse durchsucht Windows vor dem Systemordner, und was sind KnownDLLs?
- Wie würden Sie bestätigen, dass die Exporte der DLL die legitime Bibliothek nachahmen und zusätzlich Schadcode enthalten?
- Welche Detektionen würden Sie für ein signiertes Binary schreiben, das aus einem für Nutzer beschreibbaren Pfad läuft?