Главная страница » MITRE ATT&CK
0
3 минуты
MITRE ATT&CK

MITRE ATT&CK T1562.006 Ослабление защиты: Блокирование индикаторов

MITRE ATT&CK

Блокирование индикаторов - это техника уклонения от защиты, которую злоумышленники используют для того, чтобы помешать средствам безопасности обнаружить или сообщить о вредоносной активности путем вмешательства в индикаторы компрометации (IOC). Такие решения безопасности, как системы обнаружения и реагирования на конечные точки (EDR), антивирусные программы и системы обнаружения вторжений (IDS), используют такие индикаторы компрометации, как хэши файлов, сетевые подключения, имена доменов и изменения в реестре, чтобы выявлять и отмечать потенциальные угрозы. Блокируя генерирование, регистрацию и передачу этих показателей, атакующие могут избежать обнаружения и сохранить устойчивость во взломанной среде.

Что такое индикаторы компрометации?

Индикаторы компрометации - это следы или признаки, которые можно проанализировать для обнаружения и идентификации вредоносной деятельности в компьютерной сети или системе. Системные администраторы и специалисты по безопасности используют их для распознавания потенциальных угроз и оперативного реагирования. Аномалии сетевого трафика, артефакты файлов и памяти, модификации реестра и аномалии конечных точек - это распространенные индикаторы, используемые службами безопасности для мониторинга ИТ-инфраструктуры организации.

Использование злоумышленниками блокировки индикаторов

Злоумышленники скрывают или блокируют различные индикаторы, на которые обычно полагаются специалисты по безопасности для выявления и реагирования на потенциальные угрозы. Такие действия позволяют им оставаться незамеченными как можно дольше, чтобы максимально расширить доступ к целевой сети. Техника блокирования индикаторов позволяет злоумышленникам нарушать работу средств защиты, не выводя их из строя. В системах Windows злоумышленники используют следующие методы блокировки индикаторов:

Перенаправление датчиков на хосте: Злоумышленники перенаправляют журналы Windows Software Trace Preprocessor (WPP) в stdout.

Отключение датчиков на базе хоста: Злоумышленники отключают Event Tracing for Windows (ETW).

Еще один способ помешать контролю безопасности - подключить системные функции, чтобы пользователи не могли просматривать вредоносные артефакты, процессы и действия сокетов. В мае 2024 года сообщалось, что руткит Ebury использовал эту технику в Operation Windigo для обхода и сохранения защиты. Злоумышленники использовали модифицированные символические ссылки и подключали функции readdir, realpath, readlink и их варианты к вредоносному файлу libkeyutils.so, который, по всей видимости, указывал на легитимный файл. Они также подключили функции stat, open и их варианты, чтобы скрыть вредоносный файл, и пользователи могли просматривать только легитимный файл libkeyutils.so.

Комментарии: 0
Похожие записи
0
1 минута
MITRE ATT&CK

MITRE ATT&CK T1562.007 Ослабление защиты: Отключение или модификация облачного брандмауэра

MITRE ATT&CK
Отключение или изменение облачного брандмауэра - это техника уклонения от защиты, с помощью которой злоумышленники манипулируют конфигурацией облачного брандмауэра, чтобы обойти средства контроля безопасности и совершить вредоносные действия.
0
2 часа
MITRE ATT&CK

MITRE ATT&CK T1562.003 - Ослабление защиты: Запись в журнал истории команд

MITRE ATT&CK
Нарушение записи истории команд - это техника обхода защиты, которую злоумышленники используют для манипулирования или отключения записи истории команд, чтобы скрыть свою деятельность.
0
21 час
MITRE ATT&CK

MITRE ATT&CK T1562.010 - Ослабление защиты: Атака "на понижение"

MITRE ATT&CK
Атака "на понижение" (Downgrade Attack) - это техника уклонения от защиты, которую злоумышленники используют для намеренного снижения уровня безопасности системы, заставляя ее использовать более слабые
0
22 часа
MITRE ATT&CK

MITRE ATT&CK T1562.008 - Ослабление защиты: Отключение или изменение облачных журналов

MITRE ATT&CK
Отключение или изменение облачных журналов - это техника уклонения от защиты, с помощью которой злоумышленники манипулируют облачными службами регистрации, чтобы избежать обнаружения и скрыть свою деятельность.