Эксперты BI.ZONE рассказали, как можно выявить атаку Zerologon

Эксперты BI.ZONE рассказали, как можно выявить атаку Zerologon

Эксперты BI.ZONE рассказали, как можно выявить атаку Zerologon

Исследователи из ИБ-компании BI.ZONE изучили опасную уязвимость Windows, получившую известность как Zerologon, и разработали несколько методов обнаружения фактов ее эксплуатации. Эксперты надеются, что использование созданных ими правил позволит также ускорить классификацию киберинцидентов.

Уязвимость Zerologon (CVE-2020-1472) была выявлена в протоколе шифрования, который использует Windows-служба Netlogon. Использование бреши позволяет автору атаки обойти аутентификацию,  повысить свои привилегии до уровня администратора домена и получить доступ на запись к базе данных Active Directory. Уязвимость затрагивает серверные ОС Windows; разработчик уже выпустил патч и опубликовал руководство для пользователей, однако злоумышленники не оставляют попыток проникнуть в сети Windows через эту лазейку.

Эксперты BI.ZONE проанализировали несколько известных концепций атаки (proof-of-concept, PoC) на Zerologon, а также эксплойты, обнаруженные в атаках, и выяснили, что все они работают в целом одинаково. На основании полученных результатов было разработано три способа обнаружения эксплойт-атаки: по событиям журналов аудита Windows, по сетевому трафику и при помощи YARA-правил.

В первом случае администратору Windows придется включить режим отладки Netlogon с помощью команды nltest /dbflag:0x2080ffff. После перезапуска служба начнет сохранять большую часть событий в файл журнала (отыскивается по пути C:\Windows\debug\netlogon.txt). Признаком атаки могут служить следующие события на контроллере домена:

  • 5805 — ошибка аутентификации сессии, доступ запрещен;
  • 5723 — ошибка установления сессии из-за отсутствия доверенного аккаунта в базе данных безопасности;
  • 4742 — изменение учетной записи компьютера контроллера домена (должно насторожить при отсутствии события 5823, говорящего о легитимной смене пароля по истечении заданного срока, либо при регистрации обоих событий с интервалом в 1 минуту).

Для эксплуатации Zerologon злоумышленники зачастую задействуют легитимный инструмент Mimikatz или пользуются виртуальной машиной под управлением ОС Kali Linux, поэтому имена mimikatz и kali в записях событий 5805 и 5723 могут более явно свидетельствовать об атаке.

Для удобства отслеживания Zerologon-событий с помощью SIEM исследователи сформулировали три правила:

  • (EventID = ’5805′ OR EventID = ’5723′) AND (Message contains ’kali’ OR Message contains ’mimikatz’)
  • when both of (EventID = ’4742′ AND TargetUserName IN «Domain_Controller_Accounts_List» AND PasswordLastSet != ’-’) and not (EventID = ’5823′) were detected on the same host within 1 minute (требует внесения списка контроллеров домена в набор Domain_Controller_Accounts_List)
  • when both of (EventID = ’4742′ AND TargetUserName IN «Domain_Controller_Accounts_List» AND PasswordLastSet != ’-’) and (EventID = ’5805′) were detected on the same host within 1 minute

Попытку эксплуатации Zerologon можно выявить и путем анализа сетевого трафика с помощью IDS или IPS. Признаком атаки в данном случае, по словам экспертов, будет служить «аномально большое количество запросов из одного источника по протоколу DCE/RPC с парами методов NetrServerReqChallenge и NetrServerAuthenticate за короткий промежуток времени». Кроме того, выдать вредоносную активность могут уникальные артефакты, но они не всегда присутствуют в трафике.

По итогам исследования было также создано YARA-правило для выявления следов эксплуатации Zerologon в памяти процесса lsass.exe. Обращение к сервису проверки подлинности локальной системы (LSASS) происходит при попытке аутентификации на контроллере домена. В результате в адресном пространстве lsass.exe остаются артефакты, которые тоже могут служить признаками атаки. В ходе тестирования созданное экспертами YARA-правило с успехом отработало на ОС Windows Server 2012 R2 и Windows Server 2016.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Компании делают ставку на обучение кибербезопасности: рост спроса на 20%

Компания «Инфосистемы Джет» проанализировала запросы более 270 крупных компаний и выяснила: интерес к корпоративному обучению в области кибербезопасности не просто сохраняется, а растёт. За первое полугодие 2025 года число запросов на программы по повышению осведомлённости сотрудников увеличилось на 20%, а интерес к киберучениям остался на стабильно высоком уровне.

Если раньше компании заказывали в основном «точечные» курсы для ИБ-специалистов, то теперь приоритет смещается к массовому обучению всего штата.

В 2022 году программы по киберграмотности составляли лишь 15% запросов, в 2024-м — уже 37%, а в первой половине 2025-го доля выросла до 58% и продолжает увеличиваться.

Эксперты связывают этот рост с рядом факторов:

  • увеличением числа инцидентов из-за человеческого фактора — фишинга, ошибок и социальной инженерии;
  • и новыми нормативными требованиями, включая приказ ФСТЭК № 117, вступивший в силу в апреле 2025 года.

Топ-менеджеры всё чаще понимают, что кибербезопасность — это не только технологии, но и часть корпоративной культуры. Каждый сотрудник должен осознавать личную ответственность за защиту данных.

Если раньше обучение проходило «для галочки», теперь компании ищут действительно эффективные форматы. Растёт интерес к очным занятиям — живое общение и обсуждение помогают вовлечь людей лучше, чем просто онлайн-курс. Обучение становится массовым и персонализированным: внимание уделяется всем сотрудникам, а не только тем, кто работает с чувствительными данными.

«Сегодня обучение кибербезопасности — это уже не формальность, а необходимая мера. Компании вынуждены подходить к нему системно, разделяя программы по уровням — от базовой кибергигиены до комплексных курсов для ИБ-команд. Особенно ценится контент, основанный на реальных инцидентах и адаптированный под конкретные защитные средства компании», — отмечает Кира Шиянова, менеджер продукта платформы Jet CyberCamp компании «Инфосистемы Джет».

На рынке формируется чёткое разделение:

  • зрелые компании проводят киберучения и развивают awareness-программы своими силами;
  • организации поменьше чаще обращаются к внешним подрядчикам или используют готовые решения.

При этом заказчики всё чаще требуют доказуемой эффективности обучения — не просто отчётов, а реальных метрик, показывающих снижение рисков. Это подталкивает рынок к росту аутсорсинговых сервисов и комплексных решений, где обучение становится частью общей стратегии кибербезопасности.

Напомним, вчера мы сообщали, что рынок корпоративного ИБ-образования в России вырос до 3 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru