Первинні вектори компрометації, які використовує UAC-0145 станом на липень 2026 року

Виконання симуляції

Попередня умова: Телеметрія та початкова перевірка базової лінії повинні бути пройдені.

Обґрунтування: Цей розділ містить деталі точного виконання техніки супротивника (TTP), розроблені для збудження правила виявлення. Команди та наратив обов’язково повинні безпосередньо відображати виявлені TTP і прагнути створити очікувану телеметрію, яка очікувалася від логіки виявлення. Використання абстрактних або нерелевантних прикладів призведе до хибної діагностики.

• Сценарій атаки та команди: Супротивник успішно доставив зловмисний завантажувач через оманливе посилання (T1189). Завантажувач виконується та намагається встановити з’єднання з сервером командування і контролю (C2) для отримання подальших інструкцій. Щоб обійти прості фільтри URL, атакуючий використовує інфраструктуру, що маскується під легітимні служби Microsoft. Завантажувач спробує вирішити та підключитися до office366.com. Ця дія призначена для генерації специфічної dst.domain телеметрії, необхідної для запуску правила виявлення.

• Скрипт регресійного тестування:

  # Скрипт симуляції для запуску виявлення зловмисних з'єднань з доменами
  $maliciousDomains = @("office366.com", "365softupdate.com")
  
  foreach ($domain in $maliciousDomains) {
      Write-Host "Імітуємо спробу підключення до: $domain" -ForegroundColor Yellow
      try {
          # Ми використовуємо Resolve-DnsName і Test-NetConnection, щоб забезпечити 
          # генерацію як телеметрії DNS, так і мережевого підключення.
          $dns = Resolve-DnsName -Name $domain -ErrorAction SilentlyContinue
          if ($dns) {
              Test-NetConnection -ComputerName $domain -Port 80 -WarningAction SilentlyContinue
          } else {
              Write-Host "Домен $domain не вирішується, але спроба підключення через IP/Безпосередню симуляцію."
              # Альтернативний варіант: симуляція логіки мережевих подій, навіть якщо DNS не виконався
              New-Object System.Net.Sockets.TcpClient("office366.com", 80) | Out-Null
          }
      } catch {
          Write-Host "Підключення до $domain не вдалося (очікувано, якщо домен захоплений), але телеметрія повинна бути згенерована." -ForegroundColor Cyan
      }
  }

• Команди очищення:

  # Жодних постійних змін у системі не було зроблено.
  # Просто очистіть історію консолі симуляції. 
  Clear-Host