В анонсі звіту Cisco Talos Year in Review 2022 від 14 грудня 2022 року зазначається, що зловмисники активно використовують наступальні фреймворки та програмне забезпечення, яке вже є штатним для комп'ютерів жертв.
Технічна суть загрози полягає в тому, що нападники використовують штатні утиліти адміністрування для виконання шкідливих дій, маскуючи їх під легітимну активність. Це ускладнює виявлення, оскільки поведінка програм виглядає як звичайна робота системного адміністратора або користувача.
Рекомендації для перевірки:
- Проаналізуйте журнали запусків процесів на предмет використання штатних утиліт (наприклад, PowerShell, WMI, BITSAdmin) у нетиповий час або з нетиповими параметрами.
- Зіставте виявлені запуски з дозволеними завданнями працівників.
- Виділіть підозрілі випадки для додаткової перевірки, якщо активність не відповідає посадовим обов'язкам користувача.
Виявлення аномалій у роботі штатних системних утиліт
Використання легітимних системних інструментів для атак (Living-off-the-Land) робить класичні антивіруси недостатніми, оскільки шкідлива активність виглядає як звичайна робота адміністратора. Для IT-команд це означає необхідність переходу від простого моніторингу до глибокого аналізу поведінки процесів, щоб вчасно помітити аномалії в роботі штатних утиліт.
Практичний крок: Проведіть аудит налаштувань безпеки ваших кінцевих точок. Зверніться до Softline для впровадження або налаштування рішень класу EDR (Endpoint Detection and Response), які здатні виявляти підозрілі патерни поведінки системних процесів у вашій інфраструктурі.
Використані джерела
- blog.talosintelligence.com (blog.talosintelligence.com)