Сегодня поговорим о том, как мыслит злоумышленник перед тем как «насолить» нам с Вами. Мы постараемся определить основные этапы действий атакующей стороны, но с учетом и пониманием того, что любая кибератака уникальна сама по себе. Практически невозможно найти двух разных атакующих с полностью совпадающими действиями, а если и найдем, то это скорее статистическая погрешность.
Как бы то ни было, злоумышленники, наряду со специалистами ИБ – люди не глупые и свою деятельность обдумывают, четко организуют и используют системный подход.
Костяк любой атаки
Теперь перейдем к сути дела, но прежде скажу: «Перечисленные примеры программного обеспечения в данной статье, которое могут использовать недобросовестные люди, не является призывом к действию, а приводится лишь с целью информирования и просвещения специалистов ИБ, чтобы укрепить знание и развить навыки борьбы с кибератаками».
1. Разведка и аудит
На этапе разведки хакеры собирают информацию о системе, которая поможет им спланировать атаку. Они изучают структуру сети, открытые порты, сервисы, используемые технологии, а также уязвимости. Инструменты, используемые на этом этапе, включают:
- WHOIS — для получения данных о доменах и IP-адресах.
- Nmap — для сканирования сети и выявления открытых портов и сервисов.
- Shodan — поисковик уязвимых устройств и сервисов в интернете.
- OSINT (Open-Source Intelligence) — открытые источники, такие как социальные сети, для сбора информации о сотрудниках компании.
Хакеры также могут применять фишинг и социальную инженерию для получения учетных данных, обманывая пользователей или администраторов системы.
2. Активные действия
После завершения разведки хакеры приступают к непосредственным действиям по проникновению в систему. На этом этапе они эксплуатируют найденные уязвимости. Примеры используемого ПО:
- Metasploit — фреймворк для автоматизации поиска уязвимостей и их эксплуатации.
- SQLmap — инструмент для проведения SQL-инъекций, позволяющий получить доступ к базам данных.
- Hydra или John the Ripper — программы для перебора паролей и взлома учетных записей.
Основная цель на этом этапе — проникнуть в систему, получить доступ к учетным записям, службам или данным.
3. Распространение по сети
После того как хакеры получили начальный доступ, они начинают двигаться дальше по сети в поисках более ценных ресурсов, таких как серверы баз данных, файловые хранилища или системы управления доступом. Для этого используются техники бокового перемещения и эскалации привилегий:
- Mimikatz — инструмент для извлечения учетных данных из оперативной памяти, что позволяет получить доступ к административным учетным записям.
- BloodHound — средство для анализа инфраструктуры Active Directory и поиска путей для эскалации привилегий.
- PsExec — утилита для удаленного выполнения команд на других компьютерах внутри сети.
Задача хакера — получить доступ к критическим ресурсам компании, обходя системы защиты и ограничения доступа.
4. Утечка данных/ущерб
На этом этапе хакеры либо извлекают ценные данные (например, персональные данные, финансовую информацию или интеллектуальную собственность), либо наносят прямой ущерб, уничтожая или изменяя данные. Для снижения вероятности обнаружения хакеры могут использовать следующий инструментарий:
- Exfiltration over Web — хакеры могут использовать зашифрованный HTTP/HTTPS трафик для передачи данных с компрометированной системы на свой сервер.
- Cobalt Strike — позволяет настраивать скрытые каналы связи для передачи данных с целью маскировки утечки.
- Rclone — инструмент для синхронизации файлов с облачными хранилищами, который может быть использован для кражи данных через облако.
На этом этапе также могут быть нанесены разрушительные атаки, такие как шифрование данных с использованием ransomware (программ-вымогателей), чтобы потребовать выкуп за их восстановление.
5. Сокрытие следов
После выполнения атаки хакеры предпринимают меры, чтобы скрыть свое присутствие и деятельность, чтобы затруднить расследование инцидента. Методы сокрытия следов включают:
- Rootkits — программы, которые скрывают наличие вредоносного ПО, процессов и файлов от системных администраторов.
- Log wipers — утилиты для удаления или изменения журналов активности, чтобы замести следы (например, ClearLogs).
- Stealth Backdoors — создание скрытых каналов доступа (backdoor), чтобы вернуться в систему после устранения основных уязвимостей.
Таким образом, после выполнения основных задач хакеры минимизируют шансы на свое обнаружение, продолжая иметь скрытый доступ к системе на будущее.
Заключение
В итоге все как всегда сводится к тому, что знание – это единственно эффективный способ защиты. Только доскональное понимание того, как действует злоумышленник, какие инструменты и техники он использует, может помочь в построении правильной и устойчивой системы защиты Вашей инфраструктуры.