Давайте рассмотрим несколько способов закрепления в системе, которые использовали Lazarus 😤
Они использовали уязвимость - Phantom DLL Loading, в службе SessionEnv
Для обнаружения такого поведения можем отслеживать создание dll-файлов в директории
Windows\System32\🔭 Обнаружение:
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and
(
TargetFilename contains \Windows\System32\TSMSISrv.dll
or
TargetFilename contains \Windows\System32\TSVIPSrv.dll
)
#detection@detectioneasy
#ttp@detectioneasy
