Злоумышленники обладают большими ресурсами и связями с другими группами для проведения масштабных кибератак. Их основная цель – кибершпионаж. Для проникновения в целевую сеть группа активно применяет эксплуатацию публично доступных сервисов на периметре, доступ через подрядчика и легитимные аккаунты.

В одном из расследованных кейсов специалисты наблюдали в журналах следующие запросы:

POST /wsman 443 – 45.12.67.18 HTTP/1.1 Ruby+WinRM+Client+(2.8.3,+ruby+2.7.2+(2020-10-01))

Как видно из запроса, использовался некоторый клиент для WinRM, написанный на Ruby. Но интересно тут указание порта 443, ведь WinRM работает на 5985, 5986 портах.

💻WinRM — это название как службы, так и протокола Windows, использующегося для удаленного управления, администрирования и мониторинга систем. Обычно используется злоумышленниками для перемещения в инфраструктуре жертвы.

⬇️Оказывается с помощью представленных ниже команд можно сконфигурировать WinRM так, чтобы в дополнении к стандартным портам добавлялись порты 80, 443.
⏺️winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}
⏺️winrm set winrm/config/service @{EnableCompatibilityHttpsListener="true"}

✏️ Используя эту особенность, злоумышленники могут ввести в заблуждение исследователей безопасности, мимикрируя под обычный трафик в инфраструктуре.