MaxPatrol SIEM теперь выявляет атаки с тактикой Закрепление

MaxPatrol SIEM теперь выявляет атаки с тактикой Закрепление

MaxPatrol SIEM теперь выявляет атаки с тактикой Закрепление

В MaxPatrol SIEM загружен пакет экспертизы, предназначенный для выявления атак с применением тактик модели MITRE ATT&CK: теперь система сможет выявлять атаки с тактикой «Закрепление». Новые правила корреляции позволяют обнаруживать попытки закрепления атакующих в скомпрометированной Windows-инфраструктуре и таким образом не дать злоумышленникам получить постоянный доступ к сети.

Злоумышленники используют тактику закрепления для поддержания постоянного присутствия в атакуемой системе: им нужно быть уверенными, что даже после перезапуска системы или смены учетных данных их скрытый удаленный доступ будет работать. Так они смогут в любое время контролировать скомпрометированную систему, продвигаться по инфраструктуре и достигать своих целей.

В очередной пакет экспертизы вошли 16 правил корреляции, которые помогают выявить наиболее актуальные техники закрепления — нелегитимное создание учетных записей, установку и запуск средств удаленного доступа, внесение изменений в конфигурацию атакуемой системы, подписку на события в системе и выполнение вредоносного кода, когда такие события происходят.

Это третий пакет экспертизы из специальной серии для покрытия всех 12 тактик матрицы MITRE ATT&CK. До конца 2019 года экспертиза дополнится пакетами, нацеленными на выявление активности злоумышленников на этапах получения учетных данных (Credential Access) и разведки (Discovery).

«Наши расследования показывают, что злоумышленники могут оставаться незамеченными в скомпрометированной инфраструктуре годами. Зафиксированный нами рекорд – более 8 лет. Нередко в течение всего этого срока злоумышленники отслеживают почтовую переписку компании, собирают важные документы с закрытых сетевых ресурсов, — рассказывает Антон Тюрин, руководитель отдела экспертных сервисов PT Expert Security Center. — Именно для того, чтобы кардинально сократить время присутствия атакующего в чужой инфраструктуре, и был разработан этот набор правил корреляции».

Февральское обновление Windows 11 вызвало бесконечную перезагрузку

Февральское обновление Microsoft для Windows 11 — KB5077181 — неожиданно стало источником серьёзных проблем. Пользователи жалуются на «бесконечную перезагрузку»: система после установки апдейта уходит в цикл рестартов и не загружается до рабочего стола.

Речь идёт о накопительном обновлении от 10 февраля 2026 года для Windows 11 версий 24H2 (сборка 26200.7840) и 25H2 (26100.7840). Пакет входит в традиционный Patch Tuesday и включает как патчи, так и улучшения качества, унаследованные от предыдущих обновлений.

По сообщениям на Reddit и профильных форумах, некоторые устройства после установки KB5077181 перезагружаются более 10-15 раз подряд. Войти в систему при этом невозможно.

Тем, кому всё же удаётся ненадолго попасть на рабочий стол, система показывает ошибки, связанные со службой System Event Notification Service (SENS) — например, сообщение «указанная процедура не найдена». Также упоминаются сбои DHCP, из-за которых пропадает интернет даже при активном подключении.

В других случаях обновление вообще не устанавливается — появляются коды ошибок 0x800f0983 и 0x800f0991. Это может говорить о зависимости проблемы от конкретного оборудования, драйверов или состояния системы обновлений.

KB5077181 — часть крупного февральского релиза, который, по данным Microsoft, закрывает 58 уязвимостей в компонентах Windows. Среди них — шесть 0-day, уже используемых в атаках и включённых в каталог CISA.

По состоянию на 15 февраля Microsoft не добавила информацию о «бесконечной перезагрузке» в раздел известных проблем на странице обновления или в панели состояния Windows.

Тем не менее количество жалоб в сообществах растёт.

Если Windows всё ещё запускается, пользователи советуют удалить обновление через Панель управления Программы и компоненты Просмотр установленных обновлений, а затем временно приостановить обновления, чтобы система не установила патч повторно.

Если устройство не загружается, можно воспользоваться средой восстановления Windows (прервать загрузку три раза подряд или использовать установочную флешку), открыть командную строку и выполнить:

wusa /uninstall /kb:5077181 /quiet /norestart

После восстановления рекомендуется проверить целостность системных файлов командой sfc /scannow.

Корпоративным пользователям эксперты советуют не разворачивать обновление массово, а тестировать его через поэтапные кольца (rings) или WSUS и внимательно отслеживать состояние загрузки устройств.

RSS: Новости на портале Anti-Malware.ru