Многими любимый Responder получил свое отражение на Powershell и C# в проекте Inveigh
Атакующие стараются не использовать его plaintext'ом и обфусцируют powershell или используют свой интерпретатор
Если Вам попались ребята, которые просто сделали
git clone или скачали Release 👶 , проблем с ними нет🔭 Обнаруживаем:
🔤 создание файлов с именем Inveigh
🔤 в логах Powershell вхождение inveigh, relay
Если хакеры подготовились обфусцировались, принесли с собой свой интерпретатор powershell:
🔤 Скорее всего оставили стандартное название логов, отслеживаем создание файлов по маскам
$inveigh.cleartext_out_file = $output_directory + "\Inveigh-Cleartext.txt"
$inveigh.log_out_file = $output_directory + "\Inveigh-Log.txt"
$inveigh.NTLMv1_out_file = $output_directory + "\Inveigh-NTLMv1.txt"
$inveigh.NTLMv2_out_file = $output_directory + "\Inveigh-NTLMv2.txt"
$inveigh.POST_request_out_file = $output_directory + "\Inveigh-FormInput.txt"
🔤 если уже сильно запарились, и все поменяли, то формат хранения NTLMv2 Response, вряд ли будут менять, и в целом лог работы программы, поэтому берем строки вывода логов из скрипта формируем в yara и идем в поход по директориям пользователей
🔤 и для самых крутых, отойдем от tool-based, поднимемся выше по пирамиде боли к TTP 🤘
❗️ Суть атаки авторизовать на себя как можно больше хостов, для этого нужно поднять определенные сервера и заставить других клиентов подключаться к себе
Скорее всего подобного рода утилиты будут применяться в начале killchain для сбора учетных записей и информации об окружающей среде. Это дает нам вариант для профилирования поведения хостов.
🔤 Если у вас увеличилось количество подключений к хосту или в целом забиндились новые порты на пользовательских тачках - стоит проверить процесс, к которому подключаются.
🔤 Или наоборот, если хосты в широковещательном домене начали неожиданно подключаться к одному из хостов - необходимо его проверить
#detection@detectioneasy
