После получения повышенных привилегий на хосте злоумышленники установили Velociraptor, указав в
server_urls свой C2-сервер. С этого момента дальнейшее управление системой осуществлялось уже через него. После базового Discovery они скачали Visual Studio Code (Insiders) и установили VS Code Tunnel в режиме Install as a service. Важно понимать, что под капотом это не «настоящий сервис», а запись в Run-ключе:
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run Далее — ещё немного Discovery, но уже через VS Code Server, и следующим шагом появляется Cloudflare Tunnel.
Однако и этого атакующим оказалось недостаточно: финальным штрихом стал Zoho Assist в режиме Unattended Remote Session, позволяющий подключаться к системе без какого-либо подтверждения со стороны пользователя.
Итог: четыре независимых канала удалённого доступа к одному хосту. При этом три из них — Velociraptor, VS Code Tunnel\Server и Zoho Assist — встречаются не так уж часто.
Что здесь можно детектировать?
— Velociraptor. Если вы его не используете, любое появление этого сервиса уже будет красным флагом. А если используете — контролируйте список допустимых серверов, так как обращения к посторонним
server_urls выглядят крайне подозрительно. — VS Code Tunnel. Обращайте внимание на установку сервиса, будут примерно такие команды:
code-insiders.exe tunnel --accept-server-license-terms service install
code-tunnel.exe tunnel service uninstall
Также смотрите на Run-ключ:
key: Visual Studio Code - Insiders Tunnel
value: ...\code-insiders.exe --verbose --cli-data-dir C:\Windows\system32\config\systemprofile\.vscode-insiders\cli tunnel service internal-run --log-to-file C:\Windows\system32\config\systemprofile\.vscode-insiders\cli\tunnel-service.log
И ещё обращайте внимание на активность от процессов VS Code Server, расположенных по пути
.vscode\cli\servers\ или .vscode-insiders\cli\servers\. — Cloudflare Tunnel. При старте/остановке сервиса и запуске туннеля генерируется EventID: 1 в журнале Application (Source: Cloudflared) — это удобная точка для алертов.
— Zoho Assist. Для его использования в режиме Unattended требуется запуск сервиса Zoho Assist – Unattended Support, реализованного в файле
...\ZohoMeeting\UnAttended\ZohoMeeting\ZohoURSService.exe.