APT-группировка три недели гоняла C2-трафик через Google Sheets API — и ни одного алерта в Splunk. Домен
sheets.googleapis.com стоял в allow-листе прокси, TLS-сертификат валидный, порт 443. Для SIEM это была обычная рабочая активность.🔍 Это не косяк одного SOC — проблема системная. По данным CrowdStrike Global Threat Report 2025, 79% атак обходятся без вредоносного ПО. Атакующие используют легитимные сервисы — Google Sheets, OneDrive, Slack — и встроенные инструменты ОС. Репутационные блоклисты здесь бессильны: попробуй заблокировать
graph.microsoft.com, не сломав половину офисных процессов.Эта концепция называется LOTS — Living Off Trusted Sites. Если LOTL — это злоупотребление встроенными утилитами ОС (PowerShell,
certutil), то LOTS переносит ту же философию на сетевой уровень. Трафик идёт к доменам, которым доверяет каждый прокси, каждый DLP и каждый аналитик SOC.⚡️ В терминах MITRE ATT&CK это техника T1102 (Web Service) с двумя ключевыми подтипами:
• Dead Drop Resolver (T1102.001) — имплант читает команды из публичного ресурса (Google Sheets, Pastebin). Трафик однонаправленный, только GET.
• Bidirectional Communication (T1102.002) — имплант и получает команды, и отправляет результаты через один сервис. OneDrive через Graph API, Slack через Bot API.
🎯 Как это выглядит на практике? APT29 (Midnight Blizzard) использовала Graph API для управления и эксфильтрации — это зафиксировали Microsoft и Mandiant. Схема простая: имплант авторизуется через OAuth2, читает файл-команду из OneDrive-папки, выполняет, пишет результат обратно. Всё через
graph.microsoft.com — легитимный домен, легитимный порт, легитимный сертификат.Что реально работает для детектирования? Смотреть не куда идёт трафик, а кто и как его генерирует.
• Какой процесс обращается к
sheets.googleapis.com? Браузер — норма. svchost.exe или powershell.exe — красный флаг.• Регулярные интервалы запросов? C2-beacon стучит с фиксированным jitter (±10–20%), живой пользователь так не работает.
• OAuth-токены с разрешениями
Files.ReadWrite.All у неизвестных приложений? Повод для немедленного расследования.📊 По данным Mandiant M-Trends 2025, медианное время нахождения атакующего в сети — 11 дней, а 57% организаций от третьей стороны. Если ваш SIEM видит HTTPS-соединение к
graph.microsoft.com от svchost.exe и молчит — вы в этих 57%.🛡 В полной статье — готовые Sigma и YARA правила под каждый из каналов, маппинг на MITRE ATT&CK и пошаговый playbook для деплоя детектирующей логики.
https://codeby.net/threads/detektirovaniye-apt-cherez-oblachnyye-c2-kanaly-sigma-i-yara-pravila-dlya-google-sheets-onedrive-i-slack.92928/