Эксплуатация клиентских инструментов в среде MS-SQL: особенности тактик злоумышленников и методы обнаружения
В современном мире киберугроз злоумышленники все активнее используют встроенные клиентские инструменты для доступа и манипуляции с базами данных. Новый отчёт, посвящённый тактикам атак в среде MS-SQL, раскрывает особенности работы злоумышленников с бинарными файлами и показывает, какие следы остаются в системных журналах. Анализ данных позволяет выявить эффективные методы обнаружения и реагирования на подобные инциденты.
Использование инструментов DB в скомпрометированных системах
Злоумышленники при проникновении в систему часто прибегают к использованию living off the land binaries (LOLBINS) — легитимных системных утилит, таких как SQLCMD. Этот инструмент командной строки применяется для резервного копирования баз данных и работы с таблицами в среде MS-SQL, требуя для запуска действительных учётных данных.
- SQLCMD поддерживает два основных режима аутентификации:Windows Authentication — основана на локальных учетных записях;
SQL Authentication — чаще всего с использованием учётной записи SA. - Действия с базами данных через SQLCMD фиксируются в основных журналах MS-SQL — TRC и стандартном журнале ошибок.
Особенности логирования и трудности обнаружения
В отчёте выделяется ряд важных аспектов, связанных с регистрацией активности злоумышленников:
- На платформах Linux для отслеживания операций экспорта используется файл Logexport.txt. Однако его основное ограничение — неспособность аккумулировать данные при повторных запусках, что усложняет долгосрочный мониторинг и исторический анализ.
- Определённые SQL-запросы, особенно те, которые извлекают табличные данные, могут не оставлять заметных следов в журналах MS-SQL. Это значительно затрудняет криминалистический анализ и выявление злоумышленников.
- Злоумышленники могут создавать пакетные сценарии, которые с помощью SQLCMD извлекают данные из таблиц и сохраняют их в файлах формата table_name.dat, готовя их к внешней утечке.
Альтернативные методы обнаружения и их важность
Отчёт подчёркивает необходимость использования различных источников журналов и методик для полного понимания масштабов атаки. Так, инструмент SRUM удалось идентифицировать SQLCMD.EXE процесс, который осуществлял обширную передачу данных. Этот факт свидетельствует о прошлых взаимодействиях злоумышленников с базами данных, несмотря на недостаточную полноту стандартных журналов MS-SQL.
Таким образом, комплексный подход к исследованию и мониторингу скомпрометированных серверов MS-SQL включает:
- Анализ логов TRC и стандартных журналов ошибок;
- Мониторинг файлов типа Logexport.txt для отслеживания операций в Linux-средах;
- Использование сторонних систем и инструментов (например, SRUM) для выявления активности процессов и сетевого трафика;
- Разработка методов анализа пакетных скриптов, которые злоумышленники запускают для извлечения и сохранения данных.
Выводы
Исследование показывает, что злоумышленники, получив контроль над сервером MS-SQL, часто выбирают стратегию использования встроенных инструментов, таких как SQLCMD, которые сложно отследить традиционными средствами мониторинга. Это заставляет специалистов кибербезопасности расширять спектр анализируемых данных и повышать уровень детализации журналов безопасности.
Комплексное понимание поведения угроз поможет организациям более эффективно обнаруживать и предотвращать утечки данных в критически важных инфраструктурах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Тактики злоумышленников и методы обнаружения атак через SQLCMD в MS-SQL".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.