Аналіз і Технічний Огляд Вимагача Avaddon Riddle Spider

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc %% Вузли action_valid_accounts[“<b>Дія</b> – <b>T1078 Дійсні облікові записи</b><br/>Зловмисник використовує викрадені або вгадані облікові дані для початкового доступу, часто через скомпрометовані RDP-облікові записи.”] class action_valid_accounts action action_rdp[“<b>Дія</b> – <b>T1021.001 Віддалені служби: RDP</b><br/>Використання RDP для бокового переміщення та віддаленого виконання команд після отримання дійсних облікових даних.”] class action_rdp action malware_web_shell[“<b>Шкідливе ПЗ</b> – <b>T1505.003 Компонент серверного ПЗ: Web Shell</b><br/>Розгортання власних вебшелів (наприклад, BLACKCROW, DARKRAVEN) для збереження постійного доступу та виконання команд на скомпрометованих серверах.”] class malware_web_shell malware action_c2_comm[“<b>Дія</b> – <b>T1102.002 Вебсервіс: двосторонній зв’язок</b><br/>Вебшел надає двосторонній канал командно-керувального зв’язку (C2).”] class action_c2_comm action tool_powershell[“<b>Інструмент</b> – <b>T1059.001 Інтерпретатор команд і скриптів: PowerShell</b><br/>Виконання PowerShell-скриптів через постексплуатаційні фреймворки, такі як Empire або PowerSploit.”] class tool_powershell tool action_auto_collection[“<b>Дія</b> – <b>T1119 Автоматизований збір</b><br/>Автоматичний збір файлів і даних перед ексфільтрацією.”] class action_auto_collection action tool_7zip[“<b>Інструмент</b> – <b>T1560.001 Архівація зібраних даних: через утиліту</b><br/>Стиснення зібраних даних за допомогою 7Zip.”] class tool_7zip tool action_exfil_cloud[“<b>Дія</b> – <b>T1567.002 Ексфільтрація через вебсервіс: у хмарне сховище</b><br/>Завантаження архівованих даних у хмарні сервіси, такі як MEGAsync.”] class action_exfil_cloud action action_gather_info[“<b>Дія</b> – <b>T1592 Збір інформації про хост</b><br/>Збір апаратних, програмних, прошивкових і клієнтських налаштувань для підготовки записки з вимогою викупу.”] class action_gather_info action action_service_stop[“<b>Дія</b> – <b>T1489 Зупинка сервісів</b><br/>Зупинка та видалення сервісів і процесів безпеки для уникнення перешкод під час шифрування.”] class action_service_stop action action_exclusive_control[“<b>Дія</b> – <b>T1668 Ексклюзивний контроль</b><br/>Отримання повного контролю для видалення тіньових копій і запобігання відновленню.”] class action_exclusive_control action action_inhibit_recovery[“<b>Дія</b> – <b>T1490 Блокування відновлення системи</b><br/>Вимкнення механізмів відновлення (vssadmin, wbadmin, bcdedit) і видалення тіньових копій.”] class action_inhibit_recovery action action_obfuscation[“<b>Дія</b> – <b>T1027 Обфусковані файли або інформація</b><br/>Рядки конфігурації кодуються у Base64 та додатково обфускуються арифметичними операціями.”] class action_obfuscation action action_data_encryption[“<b>Дія</b> – <b>T1486 Шифрування даних для впливу</b><br/>Шифрування файлів жертви за допомогою AES‑256 з унікальними ключами для кожного файлу та виключенням критичних системних директорій.”] class action_data_encryption action action_hide_artifacts[“<b>Дія</b> – <b>T1564.012 Приховування артефактів: виключення файлів/шляхів</b><br/>Виключення певних директорій і розширень із процесу шифрування для збереження стабільності системи.”] class action_hide_artifacts action %% Зв’язки action_valid_accounts –>|призводить до| action_rdp action_rdp –>|забезпечує| malware_web_shell malware_web_shell –>|надає| action_c2_comm action_c2_comm –>|використовує| tool_powershell tool_powershell –>|виконує| action_auto_collection action_auto_collection –>|передає дані в| tool_7zip tool_7zip –>|створює архів для| action_exfil_cloud action_exfil_cloud –>|завершує| action_gather_info action_gather_info –>|передує| action_service_stop action_service_stop –>|забезпечує| action_exclusive_control action_exclusive_control –>|призводить до| action_inhibit_recovery action_inhibit_recovery –>|готує етап для| action_obfuscation action_obfuscation –>|передує| action_data_encryption action_data_encryption –>|супроводжується| action_hide_artifacts %% Стилізація class action_valid_accounts,action_rdp,action_c2_comm,action_auto_collection,action_exfil_cloud,action_gather_info,action_service_stop,action_exclusive_control,action_inhibit_recovery,action_obfuscation,action_data_encryption,action_hide_artifacts action class tool_powershell,tool_7zip tool class malware_web_shell malware

Потік Атаки