Glossar
Umgehung der Ausführungsrichtlinie
Schalter wie -ExecutionPolicy Bypass schalten die Skriptprüfung von PowerShell ab – ein fast allgegenwärtiges Merkmal bösartiger Launcher.
Die Ausführungsrichtlinie von PowerShell ist eine Schutzeinstellung, die steuert, ob Skripte ausgeführt werden dürfen und ob sie signiert sein müssen. Zu ihren Werten gehören Restricted, AllSigned, RemoteSigned, Unrestricted und Bypass. Microsoft stellt ausdrücklich klar, dass sie keine Sicherheitsgrenze ist: Sie soll verhindern, dass Benutzer Skripte versehentlich ausführen, und jeder Benutzer kann sie für seine eigene Sitzung außer Kraft setzen. Eine Umgehung der Ausführungsrichtlinie ist schlicht ein Befehl, der genau das tut.
Warum es für Untersuchungen wichtig ist
Bösartige Launcher deaktivieren die Richtlinie routinemäßig für einen einzelnen Prozess mit -ExecutionPolicy Bypass (oder -ep bypass, -ExecutionPolicy Unrestricted), damit eine abgelegte .ps1 ohne Rückfrage läuft. Meist tritt sie zusammen mit anderen Launcher-Schaltern auf: -NoProfile, um Profilskripte zu überspringen, -WindowStyle Hidden, damit der Benutzer keine Konsole sieht, und -EncodedCommand, um die Nutzlast zu verbergen. Auch eine dauerhafte Änderung über Set-ExecutionPolicy Bypass oder Unrestricted verdient Beachtung, weil sie jedes spätere Skript betrifft.
Für sich genommen ist eine Umgehung ein schwacher Hinweis: Installationsprogramme, Verwaltungsagenten und Administrationsskripte verwenden sie ständig. Ihr Wert liegt in der Kombination. Eine Umgehung plus ein verstecktes Fenster plus ein kodierter Befehl oder ein Download-Cradle, gestartet aus einem Office-Prozess oder einer geplanten Aufgabe, ist ein starkes Signal.
Beispiel
Ein Launcher, wie er im Feld HostApplication eines Ereignisses des klassischen Protokolls aufgezeichnet wird:
powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\Users\Public\update.ps1
Der Parser erzeugt einen Befund zur Umgehung der Ausführungsrichtlinie mit mittlerer Schwere für den Schalter -ExecutionPolicy Bypass und einen separaten Befund zum versteckten Fenster für -WindowStyle Hidden, einschließlich abgekürzter Formen wie -ep bypass und -w hidden. Lesen Sie beide zusammen mit dem Pfad des Skripts, und suchen Sie dann in 4104-Ereignissen nach dem Inhalt dieses Skripts.
Verwandte Begriffe
- Kodierter Befehl, der Schalter, der am häufigsten mit einer Umgehung kombiniert wird
- Download-Cradle, eine häufige Nutzlast solcher Launcher
- Klassisches Windows-PowerShell-Protokoll, in dem vollständige Befehlszeilen aufgezeichnet werden
- Ereignis-ID 4104, die das anschließend ausgeführte Skript aufzeichnet
Sichten Sie Startschalter in Ihren Beweismitteln mit dem PowerShell Parser, und lesen Sie im Leitfaden zu den PowerShell-Ereignisprotokollen, wo Befehlszeilen aufgezeichnet werden.