PB-011: Verdachte uitvoering

Documentbeheer

1. Doel & scope

• Doel:

  Dit playbook legt de responsworkflow vast bij verdachte uitvoering van processen, command lines, scripts, binaries of interpreters. Het helpt responders te valideren of de activiteit geautoriseerd is, kwaadaardig is, of deel uitmaakt van een breder incident zoals malware, privilege escalation, lateral movement, account takeover, cloud compromise of data-exfiltratie.

• Scope:

  Van toepassing op verdachte uitvoering op endpoints, servers, cloud-workloads, containers, virtuele machines, beheerhosts en werkstations van gebruikers. Omvat misbruik van LOLBins, gecodeerde of geobfusceerde commando's, uitvoering van scripts, verdachte parent-child-processen, onbekende binaries, gedragsdetecties van de EDR en ongeautoriseerde beheertooling.

2. Incidentidentificatie & criteria

Type incident: Verdachte uitvoering

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Verdachte procesuitvoering of een gedragsalert van de EDR
• Gecodeerde, geobfusceerde of risicovolle command line-activiteit
• Uitvoering van PowerShell, bash, Python, JavaScript, VBScript, HTA of batch vanuit een ongebruikelijke context
• Misbruik van LOLBins, zoals verdachte activiteit van PowerShell, rundll32, regsvr32, mshta, wmic, certutil, bitsadmin, schtasks, cscript of wscript
• Office, een browser, e-mailclient, archiefprogramma of pdf-lezer die een shell, interpreter of downloader start
• Uitvoering van een onbekende, niet-ondertekende of net geplaatste binary
• Uitvoering vanuit tijdelijke mappen, gebruikersprofielpaden, netwerkshares, verwisselbare media of synchronisatiemappen van cloudopslag
• Procesgedrag dat wijst op persistence, credential theft, lateral movement, discovery, staging of exfiltratie

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Coördineert de respons, stelt de severity vast, keurt containment goed en beheert de escalatie.
• Incident responder / Forensic Analyst: Valideert de uitvoering, analyseert command lines en procesbomen, bepaalt welke assets zijn getroffen en stelt bewijsmateriaal veilig.
• Communications Lead: Coördineert interne updates en communicatie met getroffen gebruikers.
• Overige rollen:
  • Endpoint-/platformteam: Ondersteunt bij host-isolatie, het verzamelen van logs, herinstallatie en validatie van endpointmaatregelen.
  • Identity & Access-team: Ondersteunt bij containment van accounts als de uitvoering wijst op diefstal van credentials of tokens.
  • Netwerkteam: Ondersteunt bij het blokkeren van uitgaand verkeer of segmentatie als C2, downloads, exfiltratie of lateral movement worden vastgesteld.
  • Cloud Security-/platformteam: Ondersteunt bij het verzamelen van bewijsmateriaal van cloud-workloads en isolatie als de verdachte uitvoering in cloudinfrastructuur plaatsvindt.
  • Applicatie- / service-eigenaren: Valideren het zakelijke doel en ondersteunen de recovery als de uitvoering op productiesystemen plaatsvond.

4. Eerste acties

• Directe stappen:

  • Voer triage uit op de alert, de getroffen host, de gebruikerscontext, het proces, het parent-proces, de command line, de hash van het bestand en de detectiebron.
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts
  • Stel vast of het proces nog draait, of er child-processen zijn en of er actieve netwerkactiviteit is.

  Beslispunt:

  • De uitvoering is goedgekeurd en verwacht → leg de onderbouwing vast en sluit af.
  • Kwaadaardig, ongeautoriseerd of onopgehelderd → ga door met onderzoek en voer containment uit als er actief risico is.

  Waarschuwing: Ga er niet van uit dat uitvoering onschuldig is omdat de binary ondertekend is, het commando succesvol is afgerond, de gebruiker het zelf lijkt te hebben gestart of de antivirus geen alert gaf.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Verzamel voor de getroffen host en het tijdvenster de telemetrie over procesuitvoering, command lines, parent-child-processen, bestanden, registry, persistence, netwerk, DNS, authenticatie en EDR.
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
    • 📘 RB-EVIDENCE-001: Geheugenacquisitie
    • Vond de uitvoering plaats op een cloud-workload, stel dan bewijsmateriaal uit de cloud control plane en van de workload veilig.
      • 📘 RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
      • 📘 RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
  • Bewaar waar beschikbaar verdachte scripts, binaries, payloads, uitvoer van commando's, gedecodeerde inhoud, hashes en sandboxresultaten.

• Analysestappen:

  • Reconstrueer de procesafstamming, child-processen, de bron van de uitvoering en de gebruikerscontext.
    • 📘 RB-ANALYSIS-006: Analyse van de procesboom
  • Analyseer volledige command lines, argumenten, verborgen vlaggen, downloadactiviteit, gecodeerde inhoud en technieken van de tegenstander.
    • 📘 RB-ANALYSIS-023: Commandoregelanalyse
  • Onderzoek het gebruik van LOLBins en stel vast of legitieme tools zijn misbruikt voor uitvoering, persistence, toegang tot credentials, discovery, lateral movement, staging, exfiltratie of het ontwijken van detectie.
    • 📘 RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
  • Analyseer het type, de herkomst, inhoud, obfuscatie, netwerkactiviteit en bedoeling van het script.
    • 📘 RB-ANALYSIS-025: Analyse van scriptuitvoering
  • Valideer of de uitvoering was geautoriseerd door de gebruiker, leidinggevende, systeemeigenaar, IT-beheer, het ontwikkelteam, een change-record of gepland onderhoud.
    • 📘 RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • Review persistence-mechanismen als de uitvoering services, scheduled tasks, opstartitems, registry-wijzigingen, cron jobs, launch agents, WMI-subscriptions of geplande uitvoering in de cloud heeft aangemaakt.
    • 📘 RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
  • Analyseer het gedrag van de malware als payloads, C2, credential theft, persistence of secundaire uitvoering zijn vastgesteld.
    • 📘 RB-ANALYSIS-015: Malware-analyse
  • Analyseer het geheugen als process injection, uitvoering in het geheugen, verborgen processen, credentialmateriaal of malware die alleen in het geheugen leeft wordt vermoed.
    • 📘 RB-ANALYSIS-016: Geheugenanalyse
  • Review het uitgaande verkeer als bij de uitvoering downloads, C2, reverse shells, cloudopslag of externe overdrachten betrokken waren.
    • 📘 RB-ANALYSIS-018: Analyse van uitgaand verkeer
  • Hunt in de hele omgeving naar dezelfde hashes, command lines, scripts, tools, parent-processen, gebruikers of infrastructuur.
    • 📘 RB-ANALYSIS-035: Getroffen assets vaststellen

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Malware bevestigd → voer gelijktijdig PB-003: Endpoint-malware-infectie uit.
  • Privilege escalation vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Lateral movement vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.
  • Compromittering van credentials of een account vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Data staging of exfiltratie vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Misbruik van een cloud-workload of de control plane vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Isoleer getroffen hosts als de uitvoering kwaadaardig is, nog actief is, of samenhangt met credential theft, persistence, C2 of lateral movement.
    • 📘 RB-CONTAIN-004: Host-isolatie
  • Isoleer getroffen cloud-workloads als de verdachte uitvoering in cloudinfrastructuur plaatsvindt.
    • 📘 RB-CONTAIN-015: Isolatie van cloud-workloads
  • Blokkeer of reset accounts en trek sessies in als credential theft, diefstal van tokens of misbruik van een account wordt vermoed.
    • 📘 RB-CONTAIN-001: Account blokkeren
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Blokkeer actieve uitgaande infrastructuur of overdrachtspaden van de aanvaller.
    • 📘 RB-CONTAIN-007: Blokkeren van uitgaande overdracht
  • Beperk paden voor lateral movement als uitvoering op afstand of verspreiding wordt vermoed.
    • 📘 RB-CONTAIN-002: Snelle containment & netwerksegmentatie

• Eradication-stappen:

  • Verwijder kwaadaardige binaries, scripts, payloads, scheduled tasks, services, registry-items, cron jobs, launch agents, WMI-subscriptions, door de aanvaller aangemaakte accounts en ongeautoriseerde tooling.
  • Verwijder ongeautoriseerde configuratiewijzigingen en persistence-mechanismen of draai ze terug.
  • Roteer credentials, secrets, tokens, certificaten en sleutels die tijdens de uitvoering blootgesteld kunnen zijn.

• Recovery-stappen:

  • Bouw systemen opnieuw op of richt ze opnieuw in als de integriteit niet te valideren is.
    • 📘 RB-RECOVERY-002: Schone herinstallatie van systemen
  • Coördineer een gefaseerd herstel als meerdere hosts, gebruikers of afhankelijkheden zijn geraakt.
    • 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel
  • Herstel gebruikerstoegang pas nadat credentials, sessies, tokens, MFA en de integriteit van het endpoint zijn gevalideerd.
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
  • Monitor op herhaling aan de hand van hashes, command lines, gedecodeerde inhoud, parent-child-ketens, netwerkbestemmingen, scripts en waargenomen TTP's.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, endpoint- en platformeigenaren, identityteams, service-eigenaren en getroffen bedrijfsteams als containment of downtime nodig is.
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's
  • Informeer getroffen gebruikers als een accountreset, MFA-reset, herinstallatie van het apparaat of het herstellen van toegang nodig is.
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident

• Externe communicatie:

  • Schakel Legal/Privacy in als de verdachte uitvoering leidde tot toegang tot klantdata, blootstelling van gereguleerde data, impact op publieke diensten of impact op derden.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Malware, payload, C2 of persistence bevestigd	PB-003: Endpoint-malware-infectie
  Credential theft of compromittering van een account vastgesteld	PB-004: Account Takeover
  Privilege escalation vastgesteld	PB-009: Privilege Escalation
  Lateral movement of uitvoering op afstand vastgesteld	PB-010: Lateral Movement
  Data staging of exfiltratie vastgesteld	PB-005: Data-exfiltratie
  Misbruik van een cloud-workload of de control plane vastgesteld	PB-007: Cloud Compromise
  Wijdverspreide uitvoering, ransomwaregedrag of impact op kritieke infrastructuur	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een post-incidentreview (PIR)
  • Documenteer wat werkte, wat niet werkte en wat beter moet

• Documentatie bijwerken:

  • Werk dit playbook, gekoppelde runbooks, detectie-inhoud, allowlists, richtlijnen voor beheertooling en richtlijnen voor endpoint-hardening zo nodig bij.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-009: Privilege Escalation
  • PB-010: Lateral Movement
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-EVIDENCE-001: Geheugenacquisitie
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
  • RB-ANALYSIS-006: Analyse van de procesboom
  • RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
  • RB-ANALYSIS-015: Malware-analyse
  • RB-ANALYSIS-016: Geheugenanalyse
  • RB-ANALYSIS-018: Analyse van uitgaand verkeer
  • RB-ANALYSIS-023: Commandoregelanalyse
  • RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
  • RB-ANALYSIS-025: Analyse van scriptuitvoering
  • RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • RB-ANALYSIS-035: Getroffen assets vaststellen
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-002: Snelle containment & netwerksegmentatie
  • RB-CONTAIN-004: Host-isolatie
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-007: Blokkeren van uitgaande overdracht
  • RB-CONTAIN-015: Isolatie van cloud-workloads
  • RB-RECOVERY-001: Coördinatie van recovery & herstel
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang
  • RB-POST-001: Hardening na een ransomware-incident

• SOP's:

  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.