QLOG - Registro de Segurança do Windows

 12 HRS AGO  8:30 | POST PATROCINADO POR FARADAYSEC | AMBIENTE PENTEST MULTIUSUÁRIO ZION3R

      

QLOG fornece registro de eventos enriquecido para eventos relacionados à segurança em sistemas baseados em Windows. Ele está sob intenso desenvolvimento e atualmente em estado alfa. QLOG não usa ganchos de API e não requer que um driver seja instalado no sistema de destino, QLOG usa apenas ETW para recuperar sua telemetria. Atualmente, o QLOG suporta apenas eventos de “criação de processo”, mas outros eventos enriquecidos virão em breve. QLOG é executado como um Windows Services, mas também pode ser executado no modo de console, se você quiser transmitir os eventos enriquecidos para o console diretamente.

Como funciona

QLOG lê de ETW, enriquece eventos e grava eventos enriquecidos no Canal de Eventos “QLOG”. Ele cria e usa uma nova fonte de evento chamada “QMonitor” para gravar no log de eventos do Windows.

Aqui está a sequência de processamento do evento:

• Criar sessão ETW e inscrever-se em provedores relevantes de kernel e userland ETW
• Ler eventos de provedores de ETW
• Enriquecer eventos
• Escreva eventos enriquecidos para o canal de log de eventos QLOG

Desenvolvimento e Licença

QLOG está sendo desenvolvido pela comunidade threathunters.io e terá o código aberto assim que atingir a maturidade de produção.

Por que criamos o QLOG?

Sysmon faz um ótimo trabalho, mas queríamos criar uma ferramenta de código aberto e não requer a instalação de drivers nos sistemas de destino. Além disso, o Sysmon NÃO É SUPORTADO de forma alguma pela Microsoft . Então, se você tiver problemas em produção, você está por conta própria. Claro, o QLOG também não tem suporte, mas será de código aberto para que possamos corrigir problemas com o poder da comunidade de segurança e desenvolver novos recursos com base nos requisitos da comunidade.

Uso e instalação

O QLOG requer que o .NET Framework> = 4.7.2 seja instalado.

Para executar no modo de console interativo, basta executar

qlog.exe

Para instalar / desinstalar como serviço do Windows, execute:

#install service
qlog.exe -i 

#deinstall service
qlog.exe -u 

Você quer contribuir?

Consulte https://threathunters.io/ para saber como se juntar à comunidade threathunters.io.

Exemplo de saída de eventos PROCESS CREATE enriquecidos

{
  "EventGuid": "68795fe8-67e7-410b-a5c0-8364746d7ffe",
  "StartTime": "2021-07-11T11:06:56.9621746+02:00",
  "QEventID": 100,
  "QType": "Process Create",
  "Username": "TESTOS\\TESTUSER",
  "Imagefilename": "TEAMS.EXE",
  "KernelImagefilename": "TEAMS.EXE",
  "OriginalFilename": "TEAMS.EXE",
  "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe",
  "PID": 21740,
  "Commandline": "\"C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe\" --type=renderer --autoplay-policy=no-user-gesture-required --disable-background-timer-throttling --field-trial-handle=1668,499009601563875864,12511830007210419647,131072 --enable-features=WebComponentsV0Enabled --disable-features=CookiesWithoutSameSiteMustBeSecure,SameSiteByDefaultCookies,SpareRendererForSitePerProcess --lang=de --enable-wer --ms-teams-less-cors=522133263 --app-user-model-id=com.squirrel.Teams.Teams --app-path=\"C:\\Users   \\jocke",
  "Modulecount": 41,
  "TTPHash": "42AC63285408F5FD91668B16F8E9157FD97046AB63E84117A14E31A188DDC62F",
  "Imphash": "F14F00FA1D4C82B933279C1A28957252",
  "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",
  "md5": "9453BC2A9CC489505320312F4E6EC21E",
  "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E",
  "ProcessIntegrityLevel": "None",
  "isOndisk": true,
  "isRunning": true,
  "Signed": "Signature valid",
  "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11",
  "Signatures": [
    {
      "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
      "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
      "NotBefore": "15.12.2020 22:24:20",
      "NotAfter": "02.12.2021 22:24:20",
      "DigestAlgorithmName": "SHA256",
      "Thumbprint": "E8C15B   4C98AD91E051EE5AF5F524A8729050B2A2",
      "TimestampSignatures": [
        {
          "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:3BBD-E338-E9A1, OU=Microsoft America Operations, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
          "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
          "NotBefore": "12.11.2020 19:26:02",
          "NotAfter": "11.02.2022 19:26:02",
          "DigestAlgorithmName": "SHA256",
          "Thumbprint": "E8220CE2AAD2073A9C8CD78752775E29782AABE8",
          "Timestamp": "15.06.2021 00:39:50 +02:00"
        }
      ]
    },
    {
      "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
      "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
      "NotBefore": "15.12.2020 22:31:47",
      "NotAfter": "02.   12.2021 22:31:47",
      "DigestAlgorithmName": "SHA256",
      "Thumbprint": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4",
      "TimestampSignatures": [
        {
          "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:F87A-E374-D7B9, OU=Microsoft Operations Puerto Rico, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
          "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
          "NotBefore": "14.01.2021 20:02:23",
          "NotAfter": "11.04.2022 21:02:23",
          "DigestAlgorithmName": "SHA256",
          "Thumbprint": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF",
          "Timestamp": "15.06.2021 00:39:53 +02:00"
        }
      ]
    }
  ],
  "ParentProcess": {
    "EventGuid": null,
    "StartTime": "2021-07-11T09:54:28.9558001+02:00",
    "QEventID": 100,
    "QType": "Process Create",
    "Username": "TEST-   OS\\TESTUSER",
    "Imagefilename": "",
    "KernelImagefilename": "",
    "OriginalFilename": "TEAMS.EXE",
    "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe",
    "PID": 16232,
    "Commandline": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe ",
    "Modulecount": 162,
    "TTPHash": "",
    "Imphash": "F14F00FA1D4C82B933279C1A28957252",
    "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",
    "md5": "9453BC2A9CC489505320312F4E6EC21E",
    "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E",
    "ProcessIntegrityLevel": "Medium",
    "isOndisk": true,
    "isRunning": true,
    "Signed": "Signature valid",
    "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11",
    "Signatures": [
      {
        "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=W   ashington, C=US",
        "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
        "NotBefore": "15.12.2020 22:24:20",
        "NotAfter": "02.12.2021 22:24:20",
        "DigestAlgorithmName": "SHA256",
        "Thumbprint": "E8C15B4C98AD91E051EE5AF5F524A8729050B2A2",
        "TimestampSignatures": [
          {
            "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:3BBD-E338-E9A1, OU=Microsoft America Operations, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
            "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
            "NotBefore": "12.11.2020 19:26:02",
            "NotAfter": "11.02.2022 19:26:02",
            "DigestAlgorithmName": "SHA256",
            "Thumbprint": "E8220CE2AAD2073A9C8CD78752775E29782AABE8",
            "Timestamp": "15.06.2021 00:39:50 +02:00"
             }
        ]
      },
      {
        "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
        "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
        "NotBefore": "15.12.2020 22:31:47",
        "NotAfter": "02.12.2021 22:31:47",
        "DigestAlgorithmName": "SHA256",
        "Thumbprint": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4",
        "TimestampSignatures": [
          {
            "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:F87A-E374-D7B9, OU=Microsoft Operations Puerto Rico, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
            "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US",
            "NotBefore": "14.01.2021 20:02:23",
            "NotAfter": "11.04.2022 21:02:23",
            "DigestAlgorithmName": "SHA256",
               "Thumbprint": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF",
            "Timestamp": "15.06.2021 00:39:53 +02:00"
          }
        ]
      }
    ],
    "ParentProcess": null
  }
}

Baixar QLOG