Повечето от нас в ИТ сферата насочват енергията си към това да държат атакуващите отвън. Но скорошен инцидент, разследван от Huntress, ни разкрива много за това какво се случва, след като атакуващият проникне (и защо това е също толкова важно).

След като получи първоначален достъп, даден злонамерен субект не бърза веднага да премине към грубо ограбване, като кражба на данни, криптиране на файлове или разгръщане на ransomware. Вместо това той отделя време, за да се установи и настани – създавайки задни вратички (backdoors), заличавайки следите си и деактивирайки инструментите, предназначени да го уловят.

Тази публикация анализира реален инцидент от юни, при който атакуващият е свършил необичайно подробна работа точно в тази насока. Ще разгледаме къде авторът на заплахата е предприел агресивни стъпки за модифициране на средата след получаване на първоначален достъп и какво означава това за начина, по който защитниците трябва да мислят за почистването след компрометиране.

Екипът по сигурността на Huntress първо забелязва подозрителна активност, свързана с процес на Microsoft SQL Server. Разследвайки по-дълбоко, анализаторите установяват, че атакуващият не е насочил действията си директно към базата данни.

Вместо това те откриват уеб страница на същия сървър, която не проверява правилно потребителския вход – класическа SQL инжекция уязвимост. Този дефект е позволила на атакуващия да получи достъп до лежащата в основата операционна система Windows.

Важно е да се отбележи: SQL инжекцията остава една от най-често срещаните (и най-лесно предотвратими) уязвимости в уеб приложенията. Тя възниква, когато уебсайт вземе информация, въведена от посетител (например в поле за търсене или формуляр за влизане), и я предаде директно на база данни, без да провери дали е напълно безопасна за използване.

Обучете се да съкрушавате хакери на Tradecraft Tuesday с Huntress

Хакерските похвати се развиват ежедневно, затова нека ги анализираме по време на Tradecraft Tuesday!

Присъединете се към нас ежемесечно за задълбочен поглед върху похватите на атакуващите – без търговски презентации или продуктови разговори. Регистрирайте се за поредицата днес или наваксайте с предишните епизоди. Без трикове, само чист занаят.

След като влиза вътре, атакуващият не действа прибързано. Той стартира вградена команда на Windows, която извлича списък с работещите услуги на машината – проста стъпка за разузнаване, която киберпрестъпниците обикновено използват, за да разберат какво си струва да таргетират или като какви процеси могат да маскират злонамерената си дейност.

Те дори изпращат резултатите от това сканиране към контролиран от тях сървър, вероятно за по-късен преглед или за захранване на автоматизирани инструменти.

Оттам нататък атакуващият се захваща за работа, за да приспособи средата за своите нужди:

  • Активира достъпа през Remote Desktop (отдалечен десктоп), който преди това не е бил разрешен.
  • Създава нов потребителски акаунт и го добавя към локалната група Administrators, осигурявайки си незабавен достъп на високо ниво, който би оцелял при рестартиране или базово почистване на системата.
  • Влиза през Remote Desktop, използвайки този нов акаунт.
  • Деактивира Windows Defender, вградения антивирусен софтуер на Microsoft. Трябва да се отбележи обаче, че оставя недокоснати други инструменти за мониторинг на сигурността (като EDR). Това е малко необичайно и подсказва, че или не е забелязал присъствието на EDR, или не е имал начин да го изключи.

Превръщане на уеб сървъра в оръжие

След това атакуващият инсталира няколко злонамерени добавки за софтуера за уеб сървър Internet Information Services (IIS), работещ на машината.

Тези добавки са част от познато семейство зловреден код, наречено BadIIS, което обикновено се използва за компрометиране на легитимен трафик към уебсайтове с цел измами в търсачките, пренасочване на посетители, инжектиране на скрити връзки или показване на различно съдържание от предвиденото на реалния сайт.

Това на практика представлява превръщане на чужд уеб сървър в инструмент за манипулиране на класирането в търсачките и рекламния трафик, като всичко това се случва без знанието на собственика на сайта.

След това злонамереният субект инсталира програма за майнинг на криптовалута на машината – често срещан начин за атакуващите да извлекат допълнителна полза от компрометирани системи, използвайки тяхната изчислителна мощ за генериране на криптовалута, изцяло за сметка на сметката за ток на жертвата.

  • Маскира файловете на програмата за майнинг, като ги маркира като скрити, системни и само за четене – атрибути на файлове, които правят по-малко вероятно те да се появят при бегъл преглед през File Explorer.
  • Настройва майнера да работи като услуга в Windows, използвайки легитимен, свободно достъпен администраторски инструмент, гарантирайки, че той ще стартира автоматично и ще продължи да работи дори след рестартиране.