Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Эксперты корейской ИБ-компании AhnLab представили результаты разбора техники RID Hijacking, применяемой в целевых атаках кибергруппы Andariel для создания в Windows бэкдор-аккаунтов с правами администратора.

Относительный идентификатор (RID) указывает на уровень доступа учетной записи Windows и является частью SID. Такие значения хранятся в базе данных SAM, по умолчанию доступной лишь с привилегиями SYSTEM.

Авторы рассматриваемых атак получают их после взлома с помощью PsExec. Далее создается скрытая учетная запись обычного пользователя (с использованием команды NET USER), к имени добавляется символ «$».

Подмена RID для повышения привилегий аккаунта осуществляется с помощью специализированного opensource-инструмента и кастомного зловреда (на VirusTotal детектируется с результатом 49/72 по состоянию на 25 января). После этого новый юзер добавляется в группы RDP и администраторов Windows.

 

Для большей скрытности привнесенные в реестр (базу SAM) изменения экспортируются. Также удаляются ключ и бэкдор-аккаунт, который затем вытаскивается из бэкапа и заново регистрируется, чтобы активация не отобразилась в логах.

Инициатором атак RID Hijacking исследователи считают Andariel, входящую в состав Lazarus. Локальное повышение привилегий таким способом трудно выявить и предотвратить.

Снизить риски сисадминам поможет LSA: включенная служба позволяет мониторить попытки входа в систему, замены паролей, а также отслеживать и пресекать несанкционированный доступ к базе SAM.

Кроме того, рекомендуется ограничить использование PsExec, JuicyPotato и подобных им инструментов, отключить гостевые учетные записи, а остальным активировать многофакторную аутентификацию.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Positive Technologies представила POC решения для защиты от массовых атак

На пресс-конференции «Стратегическое развитие защиты конечных устройств» компания Positive Technologies показала работающий прототип системы с предварительным названием MaxPatrol EPP.

Решение ориентировано на защиту от массовых угроз, в первую очередь — от шифровальщиков и троянских программ удалённого управления.

Разработку представил Сергей Лебедев, руководитель департамента разработки средств защиты рабочих станций и серверов Positive Technologies. MaxPatrol EPP создаётся на базе технологий компании «ВирусБлокада», долю в которой Positive Technologies приобрела в феврале 2025 года.

Прототип уже способен распознавать и блокировать запуск вредоносных скриптов, которые загружают зловредные программы. Именно такие скрипты часто встраиваются в PDF-файлы и офисные документы, рассылаемые через почту или мессенджеры — это один из распространённых каналов доставки вредоносного ПО.

Согласно внутренней статистике компании, 20% всех кибератак на российские организации связаны с заражением конечных устройств: рабочих станций, ноутбуков и серверов. Из числа таких атак 42% приходятся на шифровальщики, ещё 38% — на трояны удалённого управления (RAT).

Как отметил Александр Коробко, руководитель направления продуктового маркетинга по безопасности инфраструктуры Positive Technologies, одного антивируса уже недостаточно для полноценной защиты. По данным опроса, в котором приняли участие более 390 российских компаний всех масштабов и отраслей, в среднем организации используют 3,2 защитных решения.

Причём чем крупнее бизнес, тем больше средств защиты он применяет. Наиболее популярны — антивирусы, межсетевые экраны, средства предотвращения вторжений и системы защиты конечных точек (EDR). Сейчас EDR используют 58% компаний, а ещё 28% планируют внедрить их в этом году.

По словам Сергея Лебедева, MaxPatrol EPP будет распространяться как отдельный продукт, в том числе для малого и среднего бизнеса, а также входить в состав других решений компании — например, в сетевую песочницу и NGFW.

Юрий Бережной, руководитель направления по развитию защиты конечных устройств Positive Technologies, подчеркнул, что интеграция разных защитных решений — один из главных приоритетов для заказчиков. Новый продукт отвечает на запрос бизнеса: быстро реагировать на массовые угрозы. В то время как EDR-функциональность остаётся инструментом для специалистов ИБ и применяется против более сложных, точечных атак.

Напомним, вчера мы сообщали о запуске PT MAZE — сервиса для защиты мобильных приложений от реверс-инжиниринга.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru