Ele geçirilmiş süreçlerden gelen komuta kontrol trafiğine karşı nasıl savunulur

Saldırgan ne yapar

Saldırı framework'leri ajanlarını çoğu zaman makinede zaten çalışan bir sürecin içinde çalıştırır. İki yaygın yol var: çalışan bir sürece kod enjekte etmek (örneğin CreateRemoteThread ile) ya da imzalı bir programın yüklediği bir DLL'in adıyla bir DLL koymak; program açılırken saldırganın kodunu yükler (DLL hijacking). Benzer bir durum da InstallUtil.exe gibi imzalı bir .NET aracının saldırganın verdiği bir assembly'deki kodu çalıştırmasıdır. Her durumda ajanın komuta kontrol sunucusuna giden trafiği zararsız adlı bir süreçten gelir.

Logda nasıl görünür

Bir ağ bağlantısı olayı (Sysmon Event ID 3, category: network_connection): Image bağlantıyı açan süreçtir, dışarı giden bağlantıda Initiated true'dur, ardından hedef adres ve port gelir. Kayıtlardaki bağlantılardan biri, bir post-exploitation framework'ünün kod enjekte ettiği bir Not Defteri'nden:

Dikkat çeken adres ya da port değil, Not Defteri'nin bir bağlantısının olmasıdır. Başka bir kayıtta bağlanan Not Defteri NT AUTHORITY\NETWORK SERVICE olarak çalışıyordu; yani onu bir servis başlatmıştı. Bir metin dosyası açan bir kişi bunu hiçbir zaman yapmaz.

Tespit

Challenge verisinde ölçüldü: kural 20 saldırı olayından 20 tanesini yakaladı, 2.104 normal olaydan 0 tanesiyle eşleşti.

title: Outbound connection from a Windows program that does not use the network
id: b64fec41-4b83-4bcb-9bf1-986a2c2077a8
status: test
description: >
  Detects an outbound connection opened by a program that has no reason to use the network: the
  System32 and SysWOW64 copies of Notepad, Calculator and Paint, and the .NET tools InstallUtil,
  RegAsm and RegSvcs. Such a connection usually means code was injected into the process or a DLL it
  loads was replaced. The Notepad app from the Microsoft Store is not matched; it has online features.
references:
  - https://attack.mitre.org/techniques/T1055/
  - https://howdefend.com/defend/hijacked-process-c2/
author: Bartu Kılıç
date: 2026-10-21
tags:
  - attack.defense-evasion
  - attack.command-and-control
  - attack.t1055
  - attack.t1574.001
  - attack.t1071.001
logsource:
  product: windows
  category: network_connection
detection:
  selection_outbound:
    Initiated: 'true'
  selection_image:
    Image|endswith:
      - '\System32\notepad.exe'
      - '\SysWOW64\notepad.exe'
      - '\System32\calc.exe'
      - '\SysWOW64\calc.exe'
      - '\System32\mspaint.exe'
      - '\SysWOW64\mspaint.exe'
      - '\InstallUtil.exe'
      - '\RegAsm.exe'
      - '\RegSvcs.exe'
  condition: all of selection_*
falsepositives:
  - A .NET installer that downloads a component while InstallUtil runs it (review the destination)
level: high

Kuralın kaçırdıkları

• Ağı kullanan ele geçirilmiş süreçler. Bir tarayıcıya, Office'e ya da svchost.exe'ye enjekte edilen kod trafiğini o programın normal bağlantılarının arasında gönderir; temiz Windows 10 istemcisinde bu tür programlardan 1.792 bağlantı var. Bunun yerine enjeksiyonun kendisini tespit edin: Sysmon Event ID 8 (başka bir süreçte oluşturulan thread) ve Event ID 10 (süreç erişimi), programın normalde yüklemediği bir klasörden yüklenen DLL için de Event ID 7.
• Microsoft Store'daki Not Defteri uygulaması. Windows 11'de Not Defteri Store'dan kurulur, WindowsApps altından çalışır ve çevrimiçi özellikleri vardır. Kural yalnızca System32 ve SysWOW64 kopyalarını adlandırır.
• Hedef adres. Kayıtlardaki bağlantıların hepsi laboratuvarın sunucusu 10.10.10.5'e gidiyor. Bu adres yalnızca bu saldırının bir göstergesidir: eski loglarda arama yapmak için işe yarar, bir sonraki saldırının kuralı olarak işe yaramaz.
• Eksik loglama. Ağ bağlantısı olayları çok sayıdadır; bu yüzden birçok Sysmon yapılandırması çoğunu filtreler. Kullanılan yapılandırmanın bu programların bağlantılarını tuttuğunu denetleyin.
• Aradaki proxy. İş istasyonları internete bir proxy üzerinden çıkıyorsa Sysmon olayı proxy'nin adresini gösterir; hedef proxy'nin logundadır.

Önleme

• Trafiği proxy'den geçirin. İş istasyonlarından doğrudan dışarı bağlantıları engelleyin ve internet erişimine yalnızca kimlik doğrulama isteyen ve her isteği loglayan bir proxy üzerinden izin verin. Ajan bu durumda onu kaydeden bir noktadan geçmek zorunda kalır; proxy'yi bilmeyen bir ajan sunucusuna ulaşamaz.
• App Control for Business uygulayın. User mode code integrity açıkken politika programların yanı sıra DLL'lere de uygulanır; politikanın izin vermediği bir DLL yüklenmez. Microsoft'un App Control için örnek engelleme politikası InstallUtil.exe'yi reddeder.
• Daha az yönetici. Başka bir kullanıcının ya da bir servisin sürecine kod enjekte etmek ve korumalı klasörlere DLL koymak yönetici hakları gerektirir.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1055 Process Injection
• MITRE ATT&CK: T1574.001 DLL Search Order Hijacking
• Microsoft Learn: Applications that can bypass App Control and how to block them
• OTRF Security-Datasets (attack recordings used on this page)