Атакующие продолжают активно применять легитимные утилиты (LOLbins): их использование мы наблюдали в каждом десятом инциденте прошлого года. А если брать инциденты высокой критичности – почти в каждом третьем. Самые популярные LOLbins – это
powershell.exe и rundll32.exe: они замечены в 12% критичных инцидентов. Поэтому адаптация детектирующей логики под выявление нецелевого использования этих утилит в ваших сетях должна стать приоритетной задачей команды мониторинга.Плохая новость в том, что обнаружение LOLbins связано с большим количеством ложных срабатываний. И всё же ряд хрестоматийных активностей атакующих можно вылавливать по таким командам:
`rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump <...>`
В случае powershell задача посложней. Плохие запуски хорошо видны аналитическому взору, но их много:
`powershell.exe" -NonInteractive -Enc "...OQA5ACIA...KQA=`
`powershell.exe -NoP -NoL -sta -NonI -W Hidden -Exec Bypass -Enc ...AZg...AbwA=`
`powershell.exe clear-eventlog security,application,system`
`powershell.exe -nop -w hidden -noni -c "if([IntPtr]::Size -eq 4)<...>$s=New-Object System.Diagnostics.ProcessStartInfo;<...>')-f''k'',''p'',''B''); <...> 7}m{''''9''''}i{5}''''t''''i''''{''''6}''+''{9}'')-f''y'',''S'',''M'',''g'',''u'',''U'',''l'',''A'',''o'',''s'')); if <...>
`powershell.exe -command "&{reg.exe save hklm\sam C:\programdata\Microsoft\drm\sam.save; reg.exe save hklm\system C:\programdata\Microsoft\drm\system.save; reg.exe save hklm\security C:\programdata\Microsoft\drm\security.save}"`
Как научить аналитиков SOC ловить такие запуски? Пусть ваша offensive-команда соберёт варианты использования powershell в вашей организации – и запускает тестовые атаки в похожей форме, чтоб выглядело как легитимная активность.