Útoky na Event Tracing for Windows: Techniky a protiopatření

Abstract

Event Tracing for Windows (ETW) je platforma pro monitorování systému integrovaná v Microsoft Windows. Kromě nástrojů na monitorování systému je také hojně využívána bezpečnostním softwarem. V posledních letech roste počet útoků na monitorovací nástroje, primárně s cílem skrývat tím jinou škodlivou aktivitu. Tato práce zkoumá techniky používané k oslepení či vypnutí ETW, analyzuje nedávný útok proti monitorovacím nástrojům a zkoumá možnosti detekce a prevence podobných útoků v budoucnosti.Event Tracing for Windows (ETW) is a system monitoring platform integrated into Microsoft Windows. Aside from system monitoring tools, it is also heavily used by security software. In recent years there is a growing number of attacks on system monitoring tools, primarily in order to conceal other malicious activity. This thesis explores current techniques to blind or disable ETW, analyzes a recent attack targetting system monitoring on Windows and discusses ways to detect and prevent similar attacks in the future.