Во-первых, проблемы юридические. Подрядчик – это ведь не ваш заказчик. Это сторонняя компания, она может не дать вам доступов для расследования. При этом понятно, что если подрядчика ломанули, то наверняка добрались и до других его клиентов. И все эти кейсы стоило бы оперативно расследовать. Но подрядчик боится репутационных рисков! И даже если он дал вам расследовать свой кейс, он вовсе не поспешит сообщать о проблеме всем остальным пострадавшим (хотя бывают приятные исключения).
А вот ещё одна популярная схема атаки, из инцидентов 2023-2024 годов. Мы уже рассказывали, как после компрометации подрядчика атакующие проникают в сети его клиентов по RDP и закрепляются там с помощью туннеля
ngrok. Другой типичный вариант – запуск утилиты для удалённого подключения AnyDesk. Которая тоже вполне легитимна и не блокируется EPP (антивирусами).Однако данная утилита создаёт собственные журналы. А значит, вы можете собрать со своих сенсоров нужные индикаторы атаки. Наиболее полезными окажутся
connection_trace.txt и ad.trace/ad_svc.trace (имена приведены для Windows).Журнал
connection_trace.txt позволит быстро определить факты подключения к анализируемой системе и их тип (User, Token, Password). Если AnyDesk использовался злоумышленником, и в указанном журнале встретится тип подключения Token и Password – это будет означать, что атакующий настроил автоматическое подключение в AnyDesk по паролю, и при запущенном AnyDesk сможет подключиться к системе в любой момент.А в журнале
ad.trace/ad_svc.trace, содержащем отладочную информацию, часто будет возможность определить IP-адрес, с которого производилось подключение.Но в случае, если злоумышленник удалил журналы AnyDesk, обнаружить следы подключений через данное ПО практически невозможно. Остаётся лишь внимательно анализировать события в окрестностях периода активности через утилиту удалённого подключения, обращая внимание на появление подозрительных файлов в файловой системе, подключений по RDP и т.д.