Lateral movement (боковое, или латеральное, перемещение) - это совокупность методов и действий, которые злоумышленник использует для перемещения по внутренней сети после получения первоначального доступа к хотя бы одному узлу. Это ключевой этап развития атаки, который превращает локальный инцидент на одной рабочей станции или сервере в полномасштабную компрометацию сети. В отличие от вертикального повышения привилегий, подразумевающего получение прав более высокого уровня на той же машине, lateral movement часто описывают как горизонтальное расширение доступа: атакующий не столько «поднимается» по иерархии прав, сколько «расползается» вширь, находя всё более ценные цели.
Суть этапа заключается в том, что начальная точка компрометации, как правило, не представляет для злоумышленника конечного интереса. Это может быть плохо защищённый пользовательский ноутбук, тестовая среда или устройство с устаревшим программным обеспечением. Главная задача - использовать эту точку опоры для разведки, сбора учётных данных и постепенного приближения к критически важным активам: контроллерам домена, файловым хранилищам с конфиденциальной информацией, платёжным шлюзам, системам управления базами данных или административным консолям облачных сервисов. Без бокового перемещения даже успешный взлом остаётся изолированным инцидентом, тогда как его наличие свидетельствует о переходе к целенаправленной атаке с потенциально разрушительными последствиями.
Процесс бокового перемещения носит итеративный характер. Обычно он следует повторяющейся модели: разведка и картографирование сети, кража учётных данных и повышение привилегий, затем непосредственный доступ к целевым системам.
На первом этапе атакующий стремится составить карту окружения: выявить активные хосты, открытые порты, запущенные сервисы, используемые операционные системы, а также понять структуру домена Active Directory или облачного тенанта. Для этого часто применяются легитимные административные инструменты, такие как net view, ping, arp, netstat, модули PowerShell для работы с Active Directory и специализированные утилиты. Это позволяет действиям злоумышленника сливаться с обычным административным трафиком. В реальных вторжениях, например в кампаниях группировки HAFNIUM, злоумышленники перечисляли контроллеры домена с помощью команд net group "Domain computers" и nltest /dclist. Операторы TrickBot использовали PowerShell для экспорта информации о доменных машинах в CSV-файл для последующего анализа и выбора целей для бокового перемещения.
Собрав карту сети, атакующий сосредотачивается на получении аутентификационных материалов, которые позволят ему легально с точки зрения системы обращаться к другим узлам. На этом этапе активно используются инструменты вроде Mimikatz для дампа памяти процесса LSASS, реализации атак Pass-the-Hash, Pass-the-Ticket, DCSync и создания «золотых билетов» Kerberos. Также злоумышленники прибегают к фишингу для кражи паролей, эксплуатации уязвимостей в службах удалённого доступа или перехвату токенов и сессионных cookie. Цель — получить валидные учётные данные привилегированных пользователей, например доменного администратора или сервисной учётной записи, чтобы обойти ограничения сегментации и получить доступ к защищённым системам.
Обладая повышенными привилегиями и валидными учётными данными, атакующий инициирует подключения к новым хостам, используя штатные протоколы и механизмы удалённого администрирования. Для бокового перемещения могут использоваться протоколы RDP, SSH, SMB, WinRM, WMI, а также легитимные инструменты вроде PsExec, PowerShell Remoting и DCOM-приложения. Например, в атаке PathWiper 2025 года злоумышленники использовали Distributed Component Object Model для распространения вредоносной программы-вайпера по подключённым конечным точкам, что привело к удалению критических данных. В облачных средах векторы смещаются в сторону злоупотребления доверительными отношениями между ролями IAM и кражей токенов сервисных учётных записей Kubernetes, что нередко оставляет следы, отличные от традиционных событий Windows.
Характерная особенность бокового перемещения состоит в том, что этот этап бывает крайне сложно обнаружить сигнатурными методами. Злоумышленник опирается на те же протоколы, учётные данные и инструменты, которые организация использует повседневно для администрирования и бизнес-процессов. Поэтому для защиты критически важны поведенческий анализ, корреляция событий между хостами, сегментация сети, принцип наименьших привилегий, многофакторная аутентификация для удалённого доступа и своевременный мониторинг аномальных подключений.
Таким образом, боковое перемещение - это не единичная техника, а целая тактика, определяющая способность атакующего превратить первоначальную брешь в устойчивое и глубокое присутствие внутри инфраструктуры.
