Кибератаки становятся всё сложнее, а злоумышленники всё чаще используют встроенные инструменты Windows. Разберём, как через VSSAdmin и командную строку они получают доступ к данным и обходят защиту системы.
‼️Цепочка подозрительных действий‼️
Атака начинается с команды, запускающей процессы для создания теневых копий и доступа к защищённым данным. Рассмотрим последовательность шагов:
Создание процессов через командную строку
1️⃣Злоумышленник инициирует процесс через cmd.exe, который выполняет команды для работы с теневыми копиями (Shadow Copies).
shell C:\windows\system32\cmd.exe /Q /c echo c:\windows\system32\cmd.exe /C vssadmin create shadow /For=C: *> SYSTEMROOT:\Temp\output > TEMPS\execute.bat
Основной инструмент здесь — vssadmin. Он используется для управления теневыми копиями, включая их создание, удаление и просмотр.
2️⃣Доступ к критически важным файлам
После создания теневой копии злоумышленник получает доступ к ключевым системным файлам, таким как:
- NTDS.dit — база данных Active Directory, содержащая учётные записи пользователей.
- SAM (Security Account Manager) — файл, содержащий хэши паролей пользователей.
Для копирования файлов используется команда copy с доступом к теневым копиям через пути, подобные \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy.
3️⃣Автоматизация удаления следов
После выполнения команды создаётся временный файл execute.bat, в котором хранятся действия злоумышленника. Для удаления следов после выполнения задачи файл автоматически стирается командой:
👀Ключевые индикаторы компрометации (IoC)👀
1️⃣Запись в журнал событий
В системных журналах Windows можно найти записи о запуске процессов (
Event ID 4688). Например, создание процесса с командой: C:\windows\system32\cmd.exe /C vssadmin list shadows
Эти события указывают на использование vssadmin и вызывают подозрения, особенно если команда выполняется вне запланированных системных задач.
2️⃣Удалённый доступ
Злоумышленник может использовать такие утилиты, как secretsdump.py или mmcexec, для извлечения хэшей паролей с удалённых машин. Это сопровождается событиями:
- 4624 — удалённый вход.
- 5145 — проверка прав доступа к удалённым сервисам, включая winreg.
3️⃣Удаление теневых копий
После завершения атаки часто наблюдаются команды для удаления всех созданных копий:
vssadmin delete shadows /For=C: /Quiet
Используемые инструменты
1. VSSAdmin — утилита для работы с теневыми копиями, нередко используемая злоумышленниками.
2. secretsdump.py — инструмент Impacket для извлечения хэшей паролей и данных.
3. mmcexec — утилита для выполнения удалённых команд через Management Console.