Восстановление EVTX-записей: методы карвинга
Журналы событий Windows в формате EVTX являются одним из ключевых источников телеметрии при реагировании на инциденты. Они содержат свидетельства действий злоумышленника на хосте и нередко оказываются единственным подтверждением произошедшего. Например, при компрометации учетной записи, горизонтальном перемещении или закреплении.Поэтому атакующие часто стремятся уничтожить их: очищают через wevtutil cl, шифруют или вайпят диски. Современные вымогатели все чаще шифруют целые образы виртуальных машин (VDI, VMDK, VHDX). В таких случаях файловая система тома может быть полностью недоступна или повреждена настолько, что штатные средства не могут ее смонтировать: например, если разрушена MFT или потеряна таблица разделов.В подобной ситуации можно попытаться реконструировать файловую систему вручную: выполнить поиск потерянных разделов и восстановить удаленные файлы. Однако часть записей событий при этом может быть потеряна, и сам EVTX-файл нередко оказывается сильно поврежденным, а на такую работу уходит много времени. Здесь и вступает в дело карвинг — побайтовый поиск сигнатур формата EVTX непосредственно в сыром образе (диска, тома, дампа памяти, файла подкачки, снимка VSS) с восстановлением того, что физически сохранилось, в обход файловой системы.Мы, команда реагирования на киберинциденты (PT ESC IR), уделяем приоритетное внимание автоматизации разбора артефактов для последующего обнаружения вредоносной активности — это ускоряет восстановление картины инцидента. Наш пайплайн преимущественно реализован на Go. Среди открытых решений нет качественной библиотеки, которая сочетала бы парсинг EVTX-файлов и карвинг в одном инструменте. Существующие парсеры либо регулярно падают, либо потребляют слишком много памяти. Это препятствует автоматизации, поэтому мы разработали собственную библиотеку. Она позволяет разбирать готовые EVTX-файлы, восстанавливая данные даже при несовпадении контрольных сумм или повреждении файла, а также выполнять карвинг событий из побитовых копий, дампов оперативной памяти и образов виртуальных дисков.Однако, чтобы понимать, что вообще поддается восстановлению с помощью карвинга и почему одни подходы дают полную структуру записи, а другие — лишь отдельные значения полей, необходимо сначала разобраться во внутреннем устройстве EVTX-файлов. Читать далее