Picus Security analysiert Techniken zur Manipulation von Windows-Ereignisprotokollen

Das Cybersicherheitsunternehmen Picus Security hat eine gängige Taktik von Angreifern detailliert beschrieben, die darauf abzielt, Windows-Ereignisprotokolle zu deaktivieren oder zu manipulieren. Diese Technik, im MITRE ATT&CK-Framework als T1562.002 "Impair Defenses: Disable Windows Event Logging" klassifiziert, ist für Angreifer von entscheidender Bedeutung, die ihre digitalen Spuren verwischen wollen.

Windows-Ereignisprotokolle sind ein grundlegender Bestandteil der Systemsicherheit und zeichnen kritische Aktivitäten wie Anmeldeversuche, Prozessausführungen und Änderungen von Sicherheitsrichtlinien auf. Sicherheitsteams sind für die Bedrohungsjagd, die Reaktion auf Vorfälle und forensische Untersuchungen stark auf diese Protokolle angewiesen.

Durch die Deaktivierung oder Beeinträchtigung des Ereignisprotokollierungsmechanismus können Angreifer mit erheblich reduzierter Sichtbarkeit agieren. Dies erschwert es Verteidigern erheblich, bösartige Aktivitäten zu erkennen, zu untersuchen und darauf zu reagieren. Angreifer können entweder die systemweite Protokollierung oder die Protokollierung spezifischer Anwendungen ins Visier nehmen.

Picus Security beschreibt verschiedene von Angreifern angewandte Methoden, darunter Befehle zum Stoppen des "EventLog"-Dienstes oder die Verwendung von Dienstprogrammen wie "wevutil.exe" zum Löschen von Protokolldaten, wie sie beim GhostEngine-Kryptominer beobachtet wurden. Ein weiterer Ansatz ist die Modifikation der Windows-Registrierung, die die Systemkonfigurationen speichert, um das Verhalten der Protokollierung zu ändern oder zu deaktivieren.

Das Unternehmen betont, dass der Schutz von Ereignisprotokollen und die Gewährleistung ihrer Integrität für Unternehmen unerlässlich sind, um sich wirksam gegen hochentwickelte Cyberbedrohungen verteidigen zu können.