Revelando evidências forenses ocultas no Windows
Veja como um arquivo de telemetria obscuro do Windows pode conter um valor forense inexplorado em investigações pós-intrusão.
O mistério do AutoLogger-Diagtrack-Listener.etl
Plataformas afetadas: Windows 10, Windows 11, Windows Server 2016 e versões posteriores.
Usuários impactados: Administradores de sistemas, investigadores forenses e profissionais de resposta a incidentes que analisam telemetria do Windows e artefatos ETW.
Impacto: Visibilidade forense dos dados de execução de processos ao se basear em arquivos de telemetria não documentados ou preenchidos de forma inconsistente, como o AutoLogger-Diagtrack-Listener.etl.
Nível de gravidade: Baixo (para exploração ativa) / Moderado (para limitações forenses ou de resposta a incidentes).
Histórico do incidente
Durante uma recente operação de resposta a incidentes, os serviços de resposta a incidentes da FortiGuard (FGIR) responderam a um ataque de ransomware no qual o agente da ameaça utilizou intensamente técnicas antiforenses para encobrir seus rastros e evitar que o malware chegasse às mãos de pesquisadores. Eles tentaram alcançar esse objetivo excluindo arquivos e pastas que haviam criado, apagando registros e ofuscando o malware.
Ao analisar uma imagem de disco de um sistema Windows Server 2016 comprometido, a FGIR conseguiu identificar evidências históricas de malware e ferramentas excluídas, utilizadas pelo agente da ameaça, dentro de um arquivo ETL obscuro chamado AutoLogger-Diagtrack-Listener.etl . Os arquivos ETL são gerados pela infraestrutura ETW (Event Tracing for Windows) do Windows.
Rastreamento de Eventos para Windows (ETW) e Arquivo AutoLogger-Diagtrack-Listener.etl
O Event Tracing for Windows (ETW) é uma estrutura de registro integrada e de alto desempenho que permite ao Windows e aos aplicativos registrar eventos detalhados com sobrecarga mínima. Em vez de gravar logs de texto simples, o ETW usa provedores como o kernel, a pilha TCP/IP ou o registro, que enviam dados de eventos estruturados para as sessões do ETW. Essas sessões podem armazenar os dados em buffer para consumo em tempo real ou gravá-los em arquivos binários de Log de Rastreamento de Eventos (ETL).
O ETW envolve três funções principais: provedores (fontes de eventos), controladores (que iniciam, param e gerenciam sessões usando ferramentas como logman ou PerfMon ) e consumidores (como depuradores, Visualizador de Eventos ou EDRs, que processam e interpretam os dados).
Essa estrutura é poderosa porque oferece visibilidade granular da atividade de baixo nível do sistema operacional (como criação de processos, gravações no registro ou consultas de DNS), é otimizada para velocidade por ser executada em modo kernel e oferece flexibilidade, já que os eventos podem ser consumidos em tempo real sem a necessidade de gravação em disco. As ferramentas EDR modernas aproveitam essa capacidade assinando diretamente os provedores ETW para monitorar comportamentos, como a inicialização de processos, em tempo real.
O arquivo ETL AutoLogger-Diagtrack-Listener.etl geralmente está localizado em:
%ProgramData%\Microsoft\Diagnosis\ETLLogs\AutoLogger\
Este arquivo ETL registra a telemetria gerada pelo serviço Connected User Experiences and Telemetry (DiagTrack) , também conhecido como Customer Experience Improvement Program (CEIP) . Ele é criado quando o serviço DiagTrack está habilitado e coletando ativamente dados de diagnóstico.
Os quatro níveis de detalhamento a seguir podem ser configurados para o registro de telemetria pelo serviço DiagTrack, definindo o valor da chave de registro AllowTelemetry:
| Valor | Nível | Descrição |
|---|---|---|
| 0 | Segurança | Servidor padrão (sem registros ETL) |
| 1 | Básico | Coleta mínima de dados |
| 2 | Aprimorado | Obsoleto em versões mais recentes. |
| 3 | Completo | Captura completa de telemetria |
Por padrão, o nível de telemetria é definido como 0x1 , o que, segundo nossa experiência, não resulta na criação do arquivo AutoLogger-Diagtrack-Listener.etl .
Resultados e Análises Forenses
Durante a intervenção de resposta a incidentes (IR), ao analisar a imagem de disco comprometida, a FGIR encontrou sequências de dados relevantes relacionadas à atividade do agente malicioso no arquivo AutoLogger-Diagtrack-Listener.etl . A análise e o processamento avançado do payload ETW dentro do arquivo ETL revelaram que os eventos de criação de processos no fluxo KernelProcess → ProcessStarted podem reter dados históricos valiosos, incluindo detalhes da linha de comando de binários executados anteriormente.
Outras colunas de interesse registradas nesses eventos ETW (ID do evento 1 para este provedor) são mostradas abaixo:
| Campo | Descrição |
| ID do processo | O ID do processo (PID) atribuído pelo Windows. |
| ID do processo pai | O PID do processo pai. |
| ID da sessão | O ID da sessão do Windows (0 = serviços, >1 = sessões de usuário). |
| Nome da imagem | O caminho completo do executável (ex.: C:\Windows\System32\notepad.exe). |
| Linha de comando | A sequência de comandos usada para iniciar o processo (se habilitada por parâmetros). |
| ID do usuário | O identificador de segurança (SID) da conta de usuário que iniciou o processo. |
| Nome completo do pacote | (Em versões modernas do Windows) O nome do pacote do aplicativo UWP, caso seja um processo AppX. |
| Bandeiras | Indicadores internos sobre como o processo foi criado. |
| Reservado | Reservado para uso do sistema. |
Tabela 1: Detalhes dos processos executados
A FGIR também conseguiu extrair evidências da execução de binários que haviam sido excluídos pelo agente da ameaça, incluindo a ferramenta GMER (renomeada para gomer.exe ) e vários arquivos em lote maliciosos.
Testes e observações controlados
Com o intuito de identificar a configuração e o estado exatos que resultam na criação e no preenchimento do arquivo AutoLogger-Diagtrack-Listener.etl , realizamos experimentos com alterações de configuração e estados do sistema em um Windows Server 2022 e um sistema Windows 11. Alteramos o nível de detalhamento da telemetria para 3 e executamos os seguintes comandos para gravar o arquivo ETL no local especificado. Isso resultou na criação do arquivo ETL desejado. No entanto, o arquivo permaneceu vazio, sem nenhum dado de telemetria.
New-ItemProperty -Path
HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\DataCollection" -Name AllowTelemetry -Value 3 -PropertyType DWord -Force
logman iniciar "AutoLogger-Diagtrack-Listener" -ets
logman update "AutoLogger-Diagtrack-Listener" -o
"C:\ProgramData\Microsoft\Diagnosis\ETLLogs\AutoLogger\AutoLogger-Diagtrack-Listener.etl" -ets
O primeiro comando modifica a chave de registro AllowTelemetry para aumentar o nível de detalhamento para o máximo ( 3 – Completo ). O segundo comando inicia a sessão ETW AutoLogger-Diagtrack-Listener . E o terceiro a atualiza para gravar explicitamente a saída no arquivo ETL designado. Juntos, esses comandos tentam ativar e capturar manualmente a telemetria que normalmente seria gerada pelo serviço DiagTrack.
Apesar da execução bem-sucedida, o arquivo resultante permaneceu vazio. Isso sugere que o preenchimento do arquivo pode depender de condições internas ou não documentadas do serviço DiagTrack.
Durante os testes, a FGIR observou que, embora o arquivo AutoLogger-Diagtrack-Listener.etl pudesse ser criado, ele não registrava nenhuma telemetria. Investigações adicionais revelaram que o comportamento de preenchimento do arquivo pode depender de gatilhos internos do serviço DiagTrack que não estão documentados publicamente.
Comportamento não resolvido e suas implicações para a pesquisa
Apesar dos testes, ainda não está claro em que condições exatas o arquivo AutoLogger-Diagtrack-Listener.etl é preenchido. Ajustar a chave de registro AllowTelemetry para 3 (Completo) e reconfigurar explicitamente a sessão usando o comando logman update não resultou na gravação de nenhum evento no arquivo. A sessão do autologger permaneceu visível e ativa, mas o arquivo ETL permaneceu vazio.
Isso sugere que a população desse artefato é controlada internamente pelo serviço Connected User Experiences and Telemetry (DiagTrack) e pode estar condicionada a gatilhos que não são documentados publicamente.
Mais pesquisas são necessárias para descobrir as condições específicas ou os gatilhos do sistema que levam à criação do arquivo AutoLogger-Diagtrack-Listener.etl . Compreender quando e como esse arquivo registra telemetria pode transformá-lo em um valioso artefato forense — especialmente em investigações de resposta a incidentes, onde os rastreamentos de criação e execução de processos são cruciais. Os pesquisadores são encorajados a realizar experimentos com diferentes versões do Windows, níveis de telemetria e estados de serviço para ajudar a estabelecer o valor probatório desse registro.
Proteções Fortinet
As atividades e os comportamentos de telemetria descritos neste relatório — como a criação de processos, a execução de comandos na linha de comando e o uso de ferramentas administrativas renomeadas — são rotineiramente detectados e correlacionados pelas soluções de segurança da Fortinet baseadas em IA.
O FortiEDR oferece monitoramento contínuo e em tempo real da atividade de processos e do comportamento da memória no nível do endpoint. Sua visibilidade em nível de kernel permite a detecção de eventos como inicializações de processos não autorizadas, execução baseada em scripts e ataques sem arquivo que tentam burlar mecanismos de registro como o ETW.
O FortiAnalyzer e o FortiSIEM podem ingerir telemetria nativa do Windows, incluindo dados ETW, para correlacionar eventos suspeitos em vários hosts e ambientes. Isso permite que os analistas reconstruam cadeias de execução e identifiquem atividades ocultas ou excluídas, semelhantes às evidências recuperadas nesta investigação.
O FortiGuard Threat Intelligence enriquece continuamente essas detecções com atualizações em tempo real da rede global de pesquisa da Fortinet, garantindo que variantes emergentes de malware, binários renomeados e técnicas de "living off-the-land" sejam reconhecidas e bloqueadas.
Organizações que utilizam a solução integrada de segurança da Fortinet — incluindo FortiGate, FortiEDR e FortiAnalyzer — se beneficiam de visibilidade unificada e cobertura de detecção em toda a rede, endpoints e fontes de telemetria.
