Хит-парад LolBins

Киберпреступники достаточно давно применяют тактику Living off the Land, подразумевающую использование легитимных программ и компонентов операционной системы для атак на пользователей Microsoft Windows. Этим они пытаются решить сразу несколько задач.

• Снизить затраты на разработку вредоносного инструментария.
• Минимизировать след, оставляемый в операционной системе.
• Замаскировать свою активность под легитимную работу IT-персонала.

Иными словами, основная их цель — затруднить обнаружение вредоносной деятельности. Поэтому эксперты по безопасности давно следят за активностью потенциально небезопасных исполняемых файлов, скриптов и библиотек и даже ведут своего рода реестр таких инструментов на странице проекта LOLBAS на GitHub.

Наши коллеги, отвечающие за сервис Managed Detection and Response, защищают множество компаний из самых разных сфер бизнеса и часто видят применение этой тактики в реальных атаках. В рамках подготовки отчета Managed Detection and Response: Analyst report они решили посмотреть, какие именно системные компоненты наиболее часто применяются в атаках против современного бизнеса. Вот что они выяснили.

Первое место — PowerShell

PowerShell — программный движок и скриптовый язык с интерфейсом командной строки. Он ожидаемо является наиболее часто используемым злоумышленниками легитимным инструментом, несмотря на все попытки Microsoft сделать его более безопасным и контролируемым. PowerShell пытались эксплуатировать в 3,3% всех инцидентов, выявленных нашим сервисом MDR. При этом если посмотреть только на критические инциденты, то видно, что PowerShell засветился в каждом пятом из них (точнее — в 20,3%).

Второе место — rundll32.exe

Второй по частоте использования злоумышленниками — хост-процесс rundll32, который служит для запуска кода из динамически подключаемых библиотек (DLL). Он был задействован в 2% от всех и в 5,1% критических инцидентов.

Третье место — несколько утилит

В 1,9% от всех инцидентов были задействованы пять инструментов.

• te.exe — часть фреймворка автотестирования Test Authoring and Execution Framework
• PsExec.exe — инструмент, позволяющий запускать процессы на удаленных системах.
• CertUtil.exe — инструмент для работы с информацией от центров сертификации.
• Reg.exe — файл Microsoft Registry Console Tool, позволяющий из командной строки менять и добавлять ключи в системный реестр.
• wscript.exe — сервер сценариев Windows, предназначенный для запуска сценариев на скриптовых языках.

Эти пять исполняемых файлов применялись злоумышленниками в 7,2% критических инцидентов.

Кроме того, эксперты Kaspersky Managed Detection and Response наблюдали применение msiexec.exe, remote.exe, atbrocker.exe, cscript.exe, netsh.exe, schtasks.exe, excel.exe, print.exe, mshta.exe, msbuild.exe, powerpnt.exe, dllhost.exe, regsvr32.exe, winword.exe и shell32.exe.

Ознакомиться с другими результатами исследования Managed Detection and Response: Analyst report можно вот здесь.