Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Взломщики создают скрытый админ-аккаунт Windows через подмену RID

Эксперты корейской ИБ-компании AhnLab представили результаты разбора техники RID Hijacking, применяемой в целевых атаках кибергруппы Andariel для создания в Windows бэкдор-аккаунтов с правами администратора.

Относительный идентификатор (RID) указывает на уровень доступа учетной записи Windows и является частью SID. Такие значения хранятся в базе данных SAM, по умолчанию доступной лишь с привилегиями SYSTEM.

Авторы рассматриваемых атак получают их после взлома с помощью PsExec. Далее создается скрытая учетная запись обычного пользователя (с использованием команды NET USER), к имени добавляется символ «$».

Подмена RID для повышения привилегий аккаунта осуществляется с помощью специализированного opensource-инструмента и кастомного зловреда (на VirusTotal детектируется с результатом 49/72 по состоянию на 25 января). После этого новый юзер добавляется в группы RDP и администраторов Windows.

 

Для большей скрытности привнесенные в реестр (базу SAM) изменения экспортируются. Также удаляются ключ и бэкдор-аккаунт, который затем вытаскивается из бэкапа и заново регистрируется, чтобы активация не отобразилась в логах.

Инициатором атак RID Hijacking исследователи считают Andariel, входящую в состав Lazarus. Локальное повышение привилегий таким способом трудно выявить и предотвратить.

Снизить риски сисадминам поможет LSA: включенная служба позволяет мониторить попытки входа в систему, замены паролей, а также отслеживать и пресекать несанкционированный доступ к базе SAM.

Кроме того, рекомендуется ограничить использование PsExec, JuicyPotato и подобных им инструментов, отключить гостевые учетные записи, а остальным активировать многофакторную аутентификацию.

Рынок защиты ИИ в России к 2029 году может возрасти до 11 млрд рублей

В AppSec Solutions ожидают, что российский рынок средств защиты ИИ-систем будет расти в геометрической прогрессии. В 2026 году его объем превысит 1 млрд руб., а к 2029 году может составить 11 млрд рублей.

Прогнозы других аналитиков, с которыми ознакомился «Ъ», еще более оптимистичны: 3-4 млрд руб. в 2025 году, 25-30 млрд руб. в 2030-м.

Рынок защиты ИИ в России пока молод и ориентирован на B2B. Его развитие стимулируют осознание рисков, сопряженных с внедрением таких технологий, и рост числа угроз; наибольшим спросом пользуются средства анализа защищенности новомодных интеграций, способных нарушить безопасность корпоративных сетей.

Рынок GenAI в России тоже стремительно растет. По оценкам Onside и Just AI, в сравнении с прошлогодним показателем его объем возрос почти в пять раз и достиг 58 млрд руб., а к 2030 году может достичь 778 млрд рублей.

Как неоднократно отмечали эксперты, расширение использования ИИ породило новые риски. Зафиксированы утечки конфиденциальной информации, возможность ошибок в выдаче больших языковых моделей (БЯМ, LLM), манипуляции данными, используемыми для их обучения, а также случаи злонамеренного вмешательства в работу ИИ-систем.

В ходе беседы с журналистами представитель «Информзащиты» упомянул еще одну, совсем новую угрозу — маскировку кибератак под коммуникации LLM. По оценке ИБ-компании, новая уловка злоумышленников позволяет повысить скрытность целевых атак на 42%: мишени по умолчанию воспринимают LLM-трафик как доверенный, а традиционные меры защиты в применении к ИИ малоэффективны.

RSS: Новости на портале Anti-Malware.ru