Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Эксперты корейской ИБ-компании AhnLab представили результаты разбора техники RID Hijacking, применяемой в целевых атаках кибергруппы Andariel для создания в Windows бэкдор-аккаунтов с правами администратора.

Относительный идентификатор (RID) указывает на уровень доступа учетной записи Windows и является частью SID. Такие значения хранятся в базе данных SAM, по умолчанию доступной лишь с привилегиями SYSTEM.

Авторы рассматриваемых атак получают их после взлома с помощью PsExec. Далее создается скрытая учетная запись обычного пользователя (с использованием команды NET USER), к имени добавляется символ «$».

Подмена RID для повышения привилегий аккаунта осуществляется с помощью специализированного opensource-инструмента и кастомного зловреда (на VirusTotal детектируется с результатом 49/72 по состоянию на 25 января). После этого новый юзер добавляется в группы RDP и администраторов Windows.

 

Для большей скрытности привнесенные в реестр (базу SAM) изменения экспортируются. Также удаляются ключ и бэкдор-аккаунт, который затем вытаскивается из бэкапа и заново регистрируется, чтобы активация не отобразилась в логах.

Инициатором атак RID Hijacking исследователи считают Andariel, входящую в состав Lazarus. Локальное повышение привилегий таким способом трудно выявить и предотвратить.

Снизить риски сисадминам поможет LSA: включенная служба позволяет мониторить попытки входа в систему, замены паролей, а также отслеживать и пресекать несанкционированный доступ к базе SAM.

Кроме того, рекомендуется ограничить использование PsExec, JuicyPotato и подобных им инструментов, отключить гостевые учетные записи, а остальным активировать многофакторную аутентификацию.

Росреестр подключит ИИ к снимкам из космоса, чтобы быстрее обновлять карты

Росреестр собирается использовать искусственный интеллект для обновления картографических материалов на основе данных из космоса. Ведомство уже переходит на дистанционное зондирование Земли для картографирования территории страны, а теперь хочет добавить к этому ИИ, чтобы карты обновлялись быстрее и без лишней ручной возни.

Ранее Росреестр и «Роскосмос» подписали дорожную карту по использованию космических данных.

Теперь ведомство запускает пилотный проект по мониторингу изменений местности на основе снимков из космоса. Идея простая: спутники смотрят сверху, ИИ помогает быстрее понять, что на земле изменилось, а картографические материалы обновляются оперативнее.

В Росреестре считают проект одним из прорывных для картографии. По словам замруководителя ведомства Максима Смирнова, внедрение ИИ должно повысить скорость обновления карт, увеличить производительность труда и сделать расходование бюджетных средств эффективнее.

К процессу хотят подключить ИТ-компании. Им предложили использовать космические данные, а также векторные и реестровые сведения разных масштабов. После этого Росреестр планирует выбрать наиболее подходящую технологию мониторинга из предложенных решений.

Карты хотят перестать обновлять долго, сложно и руками. Вместо этого спутниковые снимки, алгоритмы и автоматический поиск изменений на местности. Для страны таких размеров это звучит логично: объехать всё ногами всё равно не получится, а вот посмотреть из космоса и дать ИИ разобрать картинку — уже гораздо проще.

RSS: Новости на портале Anti-Malware.ru