Реестр Windows: ключ к системе

Введение в реестр Windows

Реестр Windows — это одна из ключевых компонент операционной системы, представляющая собой иерархическую базу данных, в которой хранятся настройки и параметры, необходимые для работы Windows и установленных приложений. Реестр содержит информацию о конфигурации оборудования, программного обеспечения, пользовательских профилей, политик безопасности и многого другого. По сути, это "мозг" операционной системы, который управляет её поведением.

Реестр состоит из множества ключей и значений, которые организованы в древовидную структуру. Каждый ключ может содержать подразделы и значения, которые определяют конкретные параметры системы или приложений.

Реестр играет критически важную роль в функционировании Windows. Он используется для:

• Хранения конфигурации системы и пользовательских настроек.

• Управления установленным программным обеспечением.

• Контроля за работой оборудования и драйверов.

• Реализации политик безопасности

• Автозагрузки приложений и служб.

Без реестра операционная система не сможет корректно загрузиться или работать, так как именно в нём хранятся все необходимые для этого данные.

Почему реестр является критически важным компонентом Windows

Реестр Windows — это не просто хранилище настроек, а механизм, который напрямую влияет на поведение системы. Изменения в реестре могут:

• Включать или отключать функции системы.

• Менять параметры безопасности.

• Управлять работой сетевых служб.

• Контролировать доступ пользователей к ресурсам.

Из-за своей важности реестр часто становится целью злоумышленников. Доступ к реестру позволяет атакующему:

• Получить конфиденциальную информацию.

• Изменить настройки системы для обхода защиты.

• Установить вредоносное ПО или создать бэкдор.

Краткая история реестра

Реестр Windows появился в начале 1990-х годов как замена INI-файлам, которые использовались для хранения настроек приложений. С ростом сложности операционных систем и приложений INI-файлы стали неэффективными, и Microsoft разработала реестр как централизованное и структурированное решение для хранения конфигураций.

С тех пор реестр стал неотъемлемой частью Windows, и его структура и функциональность продолжают развиваться с каждым новым выпуском операционной системы.

Почему аналитикам SOC важно понимать реестр?

Для аналитиков SOC понимание реестра Windows — это ключевой навык, так как:

• Реестр часто используется злоумышленниками для внедрения вредоносного кода и сохранения доступа к системе.

• Анализ реестра позволяет обнаружить следы взлома или подозрительной активности.

• Знание структуры реестра помогает быстро находить и устранять уязвимости.

Структура реестра

Реестр Windows имеет иерархическую структуру, организованную в виде дерева. Он состоит из кустов (hives), ключей (keys), подразделов (subkeys) и значений (values). Каждый элемент реестра играет свою роль в хранении и управлении настройками системы.

Основные разделы (кусты) реестра

Реестр разделён на несколько корневых кустов, каждый из которых отвечает за определённый аспект системы:

1. HKEY_CLASSES_ROOT (HKCR)

   • Содержит информацию о зарегистрированных типах файлов и их ассоциациях с программами.

   • Используется для управления COM-объектами и ActiveX.

2. HKEY_CURRENT_USER (HKCU)

   • Хранит настройки текущего пользователя, такие как персонализация, параметры рабочего стола и установленного ПО.

   • Уникален для каждого пользователя.

   • Единственное, что доступно для редактирования без прав локального администратора.

3. HKEY_LOCAL_MACHINE (HKLM)

   • Содержит глобальные настройки системы, общие для всех пользователей.

   • Включает данные о железе, драйверах, установленных программах и системных конфигурациях.

4. HKEY_USERS (HKU)

   • Хранит настройки всех пользователей, зарегистрированных в системе.

   • Каждый пользователь представлен своим уникальным идентификатором (SID).

5. HKEY_CURRENT_CONFIG (HKCC)

   • Содержит информацию о текущей конфигурации оборудования, используемой при загрузке системы.

Ключи, подразделы и значения

• Ключи (keys) — это контейнеры, которые могут содержать подразделы и значения. Например, HKEY_LOCAL_MACHINE\Software.

• Подразделы (subkeys) — вложенные элементы внутри ключей. Например, HKEY_LOCAL_MACHINE\Software\Microsoft.

• Значения (values) — конкретные данные, хранящиеся в ключах или подразделах. Например, строка, число или двоичные данные.

Типы данных в реестре

Реестр поддерживает несколько типов данных для значений:

• REG_SZ — строка текста.

• REG_DWORD — 32-битное число.

• REG_BINARY — двоичные данные.

• REG_MULTI_SZ — массив строк.

• REG_EXPAND_SZ — строка с переменными окружения.

Пример структуры

Пример пути в реестре: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

• Здесь Run — это ключ, который содержит значения для автозагрузки программ.

Реестр как цель атакующего

Реестр Windows — это не только важный компонент системы, но и привлекательная цель для злоумышленников.

1. Хранение конфиденциальной информации

   • В реестре могут храниться пароли, хэши, ключи шифрования и другие чувствительные данные. HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets

   • Например, данные для автозаполнения в браузерах или кэшированные учётные данные. HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\IntelliForms\Storage2

2. Управление поведением системы

   • Изменение реестра позволяет злоумышленникам:

     • Настроить автозапуск вредоносного ПО. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

     • Отключать защитные механизмы (антивирусы, брандмауэры). Или добавлять исключения, например, определенный директории или вообще все исполняемый файлы: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Extensions

     • Модифицировать системные параметры для обхода безопасности. Например, этот параметр позволит включить WDigest, после чего все пароли будут в памяти в открытом виде HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest

3. Закрепление (Persistence)

   • Реестр часто используется для создания механизмов автозапуска, которые позволяют вредоносному ПО оставаться в системе даже после перезагрузки. Например, через задачи планировщика, созданные через реестр: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks

4. Сокрытие следов

   • Атакующие могут изменять реестр для маскировки своего присутствия, например, скрывая процессы или файлы.

Доступ на чтение к реестру Windows предоставляет злоумышленнику возможность извлекать конфиденциальную информацию, изучать конфигурацию системы и собирать данные для планирования дальнейших атак. Реестр содержит огромное количество данных, которые могут быть полезны атакующему, даже без возможности вносить изменения.

SAM, SYSTEM и Security

Одним из популярных методов, который используют злоумышленники с доступом на чтение к реестру, является дамп (экспорт) веток SAM, SYSTEM и Security. Эти ветки содержат критически важную информацию, связанную с учётными записями пользователей, хэшами паролей и настройками безопасности системы.

1. Если атакующий получил удалённый доступ с правами администратора, он может использовать встроенные инструменты (например, reg.exe) или сторонние утилиты для экспорта веток реестра:

reg save HKLM\SAM C:\sam.save
reg save HKLM\SYSTEM C:\system.save
reg save HKLM\SECURITY C:\security.save

1. Атакующие часто используют специализированные инструменты, такие как Mimikatz, secretsdump (из Impacket) или pwdump, чтобы извлечь данные из этих веток.

   • Используя данные из SAM и SYSTEM, атакующий может извлечь хэши паролей (NTLM или LM).

   • Пример команды в Mimikatz:

     lsadump::sam /sam:sam.save /system:system.save

2. Атакующий может использовать хэши для аутентификации на других системах без необходимости знать пароль в чистом тексте