К моменту алерта о шифровании атакующий провёл в вашей сети от 2 до 14 дней. Финальный запуск шифровальщика — это финальный акт, не начало.
⚙️ Классические IOC протухают за часы: операторы RaaS перекомпилируют билды перед каждой атакой. В 2024 году только в одном регионе зафиксировали 51 вариант ransomware — половина из них вообще не попадёт в ваши фиды.
Поэтому охота строится на TTP, а не на хешах. В статье — рабочие Sigma-правила и SPL-запросы для трёх ключевых фаз:
•
LSASS dump через comsvcs.dll• lateral movement по RDP и
PsExec• уничтожение теневых копий перед шифрованием
🎯 Каждое правило — с объяснением, как отделить атаку от легитимной активности.
Полный разбор с кодом:
https://codeby.net/threads/threat-hunting-ransomware-obnaruzheniye-pre-ransomware-aktivnosti-v-korporativnoi-seti-cherez-siem-pravila-i-ioc.92595/