Šta se desilo?

Kompanija Hexastrike predstavila je PyrsistenceSniper, napredan forenzički alat namenjen analitičarima koji se bave sajber bezbednošću. Radi se o Python-baziranom rešenju koje omogućava brzu identifikaciju 117 različitih mehanizama perzistentnosti na tri glavne platforme - Windows, Linux i macOS. Alat funkcioniše offline i ne zahteva pristup živim sistemima, već radi direktno sa montiranim disk imejdžima, Velociraptor kolekcijama i KAPE dump-ima.

Koga pogađa?

PyrsistenceSniper je prvenstveno namenjen forenzičkim analitičarima, incident response timovima i threat hunterima koji se suočavaju sa istraživanjem kompromitovanih sistema. Alat je koristan za IT bezbednosnjake i digitalne forenzičare koji trebaju brzo da identifikuju tragove napada i osumnjičene mehanizme perzistentnosti na računarima u Vašoj organizaciji.

Kako se zaštititi?

  • Redovno vršite forenzičku analizu kompromitovanih ili sumnjivих sistema korišćenjem specijalizovanih alata
  • Koristitе YAML-bazovane profile za prilagođene pravile detekcije prema specifičnim potrebama vaše organizacije
  • Automatizujte proveru autentičnosti datoteka i SHA-256 heš vrednosti kako biste razdvojili legitimne sistemske datoteke od malvera
  • Organizujte redovne obuke za incident response timove kako bi se osposobili za korišćenje modernih forenzičkih alata
  • Primenjujte blok pravila sa visokim prioritetom kako biste smanjili lažne alarme tokom analize

Tehnički detalji

PyrsistenceSniper koristi libregf biblioteku za nativno parsiranje Windows registra i omogućava sveobuhvatnu skeniranje sistema u manje od 30 sekundi. Alat prepoznaje signaturu Authenticode i klasifikuje LOLBin indikatore. Mapiran je na 9 MITRE ATT&CK tehnika uključujući T1037 (Boot and Logon Initialization), T1053 (Scheduled Task/Job), T1543 (System Process Modification), T1546 (Event Triggered Execution) i T1547 (Boot/Logon Autostart). Rezultate moguće eksportovati u više formata - konzolu, CSV, HTML i XLSX. Dostupan je i Docker kontejner za instalaciju bez potrebe za lokalnom Python konfigracijom.

Preporuka Sajber Radara

PyrsistenceSniper predstavlja važno oružje u arzenalu incident response timova i forenzičara. Preporučujemo svim organizacijama da razmotre integraciju ovog alata u svoje procedure istraživanja bezbednosnih incidenata, posebno ako se redovno suočavate sa napadima koji koriste perzistentne mehanizme za zadržavanje pristupa.