Чужі руки на вашій клавіатурі, а потім у всій вашій мережі. Завдяки ClickFix, Potemkin, RMMProject та EtherRAT

"graph TB %% Визначення класів classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef execution fill:#3498db,stroke:#333,stroke-width:2px classDef defense_evasion fill:#9b59b6,stroke:#333,stroke-width:2px classDef persistence fill:#2ecc71,stroke:#333,stroke-width:2px classDef c2 fill:#e74c3c,stroke:#333,stroke-width:2px classDef credential_access fill:#f1c40f,stroke:#333,stroke-width:2px classDef lateral_movement fill:#1abc9c,stroke:#333,stroke-width:2px classDef defense_impairment fill:#34495e,stroke:#333,stroke-width:2px %% Фаза початкового доступу та виконання action_clickfix["<b>Дія</b> – <b>T1204.004 Виконання користувачем: Шкідливе копіювання та вставка</b><br/>Опис: Користувача за допомогою соціальної інженерії ClickFix обманюють вставити та виконати команду в діалоговому вікні виконання Windows.<br/><b/>Артефакти: cmd /min /c pcalua.exe -a mshta.exe…"] class action_clickfix initial_access exec_mshta["<b/>Дія</b> – <b>T1218.005 Системний проксі-виконання бінарного коду: Mshta</b><br/>Опис: Використовується pcalua.exe для проксі-виконання mshta.exe для отримання віддаленого HTA корисного навантаження.<br/><b/>Артефакти: hte.hta корисне навантаження, pcalua.exe"] class exec_mshta execution exec_msiexec["<b/>Дія</b> – <b>T1218.007 Системний проксі-виконання бінарного коду: Msiexec</b><br/>Опис: Шкідливий пакет MSI безшумно встановлюється за допомогою msiexec.<br/><b/>Артефакти: inst24.msi, msiexec /qn"] class exec_msiexec execution %% Фаза стійкості та завантажувача persist_netsh["<b/>Дія</b> – <b>T1546.007 Виконання, що тригериться подіями: Netsh Helper DLL</b><br/>Опис: Стійкість встановлена через компонент реєстру автозапуску MSI.<br/><b/>Артефакти: завантажувач Potemkin, RunSearch.exe в %LOCALAPPDATA%MicrosoftRunSearch"] class persist_netsh persistence %% Фаза командування та управління c2_dga["<b/>Дія</b> – <b>T1568 Динамічний розв'язок</b><br/>Опис: завантажувач Potemkin використовує алгоритм генерації доменів для пошуку серверів C2.<br/><b/>Артефакти: Potemkin DGA"] class c2_dga c2 c2_ether["<b/>Дія</b> – <b>T1568 Динамічний розв'язок</b><br/>Опис: EtherRAT вирішує свою адресу C2 з блокчейну Ethereum через EtherHiding.<br/><b/>Артефакти: EtherRAT"] class c2_ether c2 %% Фаза доступу до облікових даних cred_steal["<b/>Дія</b> – <b>T1539 Викрадення веб-сесійного файлу cookie</b><br/>Опис: RMMProject RAT націлює браузери на викрадення файлів cookie та облікових даних шляхом впровадження DLL для обходу Chrome App-Bound Encryption.<br/><b/>Артефакти: RMMProject, браузерні бази даних SQLite"] class cred_steal credential_access %% Фаза бічного руху lat_move["<b/>Дія</b> – <b>T1210 Експлуатація віддалених сервісів</b><br/>Опис: Нападник рухається вбік за допомогою WMIExec та SMBExec для поширення встановлювача MSI.<br/><b/>Артефакти: WMIExec, SMBExec, msiexec /i <IP>ADMIN$Temp…"] class lat_move lateral_movement %% Фаза погіршення захисту def_impair["<b/>Дія</b> – <b>T1687 Експлуатація для погіршення захисту</b><br/>Опис: Боротися з Windows Defender, патчити AMSI, записувати політики реєстру та зупиняти сервіс.<br/><b/>Артефакти: ключі реєстру DisableAntiSpyware, Stop-Service WinDefend, патчування AMSI"] class def_impair defense_impairment %% Фаза тунелювання C2 c2_tunnel["<b/>Дія</b> – <b>T1572 Тунелювання протоколу</b><br/>Опис: Використання Chisel для встановлення зворотних SOCKS тунелів і тунелів Cloudflare для відкриття внутрішніх сервісів.<br/><b/>Артефакти: Chisel, cloudflared перейменований у svchost.exe"] class c2_tunnel c2 %% З'єднання %% Потік від початкового доступу до виконання action_clickfix –>|призводить до| exec_mshta action_clickfix –>|призводить до| exec_msiexec %% Виконання призводить до стійкості exec_msiexec –>|встановлює| persist_netsh %% Стійкість призводить до командування та розгортання завантажувача persist_netsh –>|розгортає| c2_dga persist_netsh –>|розгортає| c2_ether %% Дії командування призводять до доступу до облікових даних c2_dga –>|виконує| cred_steal c2_ether –>|виконує| cred_steal %% Бічний рух поширює атаку cred_steal –>|дозволяє| lat_move lat_move –>|розгортається на нових хостах| exec_msiexec %% Погіршення захисту захищає нападника exec_mshta –>|використовується для патчування| def_impair def_impair –>|сприятиме| c2_tunnel "

Потік атаки