Всем привет!

Как вы наверняка знаете, техника Modify Registry (T1112) позволяет атакующим решить самые разные задачи в рамках жизненного цикла атаки. Сегодня мы взглянем на еще один интересный пример.

Чтобы обойти имеющиеся средства защиты, вымогатели, на этот раз Akira (Neon Wolf), в очередной раз воспользовались безопасным режимом в Windows. Разумеется, злоумышленникам нужно было как-то управлять скомпрометированной системой. Для этого они использовали AnyDesk, а чтобы он был запущен и после перезагрузки в безопасный режим, они осуществили следующую модификацию реестра:

"C:\Windows\system32\reg.exe" add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk /ve /d Service

Так как данная активность имеет место непосредственно перед началом распространения программ-вымогателей, это может стать последним шансом недопустить ущерб. Например, стоит обращать внимание на события подозрительной модификации соответствующего раздела реестра:

event_type: "registryvaluesetwin"

AND

reg_key_path: "safeboot"

Скоро увидимся!

English version