Будни расследований инцидентов напомнили отличный сценарий первоначального доступа в инфраструктуру для ваших упражнений команды обнаружения и реагирования.

Атакующий получил доступ к почте сотрудника и, дождавшись переписки с аттачем, добавил свою вредоносную нагрузку в перекидываемый между адресатами документ. Нет нужды выдумывать интересные сценарии социалки для упражнения – такое уже точно откроют. А ещё при таком подходе легче обойти боязнь клика на подтверждение макроса.

Способ утилизации иногда бесполезных доменных учёток: в удалёнку им нельзя или 2FA, а вот на почту вход свободен. Сложно только договориться на подобный сценарий в рамках упражнений (пентесты, симуляции и эмуляции атак): этому может помешать запрет на нарушение тайны переписки.

Что касается вредоносной нагрузки: это офисный документ с макросом, последующим дропом тушек и коннектами наружу. Звучит и есть 100% адверсариальненько.