Давайте познакомимся с отчетом коллег из Angara MTDR
Фишинговое письмо содрежит
*.scr файл который мимикрирует под PDF, после его открытия извлекаются несколько файлов cmd и bat. Одна из команд создает закреп через AnyDesk
echo QWERTY1234566 | AnyDesk.exe --set-password _unattended_access
🔭 Обнаружение:
🔤 отслеживать в командной строке совпадение с
".exe --set-password". Пример правила есть в Sigma, как по мне нужно добавить \.exe|\.scr|\.com🔤 отслеживать по запуску и подписи бинаря, наличию в командной строке
--set-password
Description: AnyDesk
Product: AnyDesk
Company: AnyDesk Software GmbH
#detection@detectioneasy
#ttp@detectioneasy