ЛК поделись инструментарием Head Mare
mimikatz - дамп кред
ADRecon - сбор информации о домене
secretsdump - дамп кред
ProcDump - дамп процессов
Localtonet - построение тоннелей
revsocks - построение тоннелей
ngrok - построение тоннелей
cloudflared - построение тоннелей
Gost - построение тоннелей
fscan - сканер
SoftPerfect Network Scanner - сканер
mRemoteNG - менеджер удаленных подключений
PSExec - PSExec 😇
smbexec - скрипт из Impacket
wmiexec - скрипт из Impacket
LockBit 3.0 - ransomware
Babuk - ransomware
Из инструментария можем увидеть, что хакеры совсем не брезгуют использовать opensource. Скрипты из набора Impacket - уже стали musthave, от которого сложно избавиться.
🔤 Фишинг и компрометация сетей подрядчиков. Эксплуатация уязвимостей CVE-2023-38831 в WinRAR, CVE-2021-26855 - Microsoft Exchange.
🔤 Для закрепления в инфраструктуре хакеры создавали локальных пользователей, строили тоннели, и закрепляли их при помощи Non-Sucking Service Manager (NSSM), который позволяет запускать любое приложение как сервис Windows.
🔤 Для обхода обнаружения злоумышленники использовали имена системных файлов для своих нагрузок, wusa.exe, calc.exe, winuac.exe, winsw.exe. Переименовывание системных утилит, например cmd.exe в log.exe
🔤Остановка служб журналирования и очистка логов
stop-service -name <servicename>
remove-service -name <servicename>
remove-service -name "<servicename>"
sc stop <servicename>
sc delete <servicename>
Get-EventLog -LogName * | ForEach { Clear-EventLog $_.Log }
🔤 Загрузка новых PE-файлов с C2. Можем отслеживать событие Sysmon -
Event ID 29: FileExecutableDetected🔤 Использование утилит для построения тоннелей
🔤 Для перемещения в инфраструктуре использовались
mRemoteNG, smbexec, wmiexec, PAExec и PsExec#detection@detectioneasy
#ttp@detectioneasy