---
# System prepended metadata

title: INT-1-Омаров_Джамалутин
tags: [INT]

---

###### tags: `INT`
# INT-1-Омаров_Джамалутин
*Выполнил Омаров Джамалутин*
## Работа специалиста SOC

### Task 1

Развернул виртуалку Win7. На нее загрузил архив с заданиями.

1. Первичный осмотр.

![](https://i.imgur.com/byQ45zC.png)

Перед нами HTTP запрос.
Наш HTTP запрос имеет такую структуру:
* Метод - GET
* URL - длинная строка на скриншоте
* Версия HTTP - HTTP /1.1 (расположена после URL, не влезла в скриншот)
* Заголовки - Host, Connection, Accept, User-Agent, Accept-Encoding

Подробнее о заголовках:

`Host` - имя домена, в нашем случае просто IP, которому предназначен запрос.
`Connection: keep-alive` - разрешает повторное использование соединения для нескольких запросов/ответов. Другими словами, обозначает, что все еще можно пользоваться соединением.
`Accept: */*` - Обозначает любой тип MIME.
`Accept-Encoding: gzip, deflate` - указывает кодировку содержмого, формат сжатия.
`User-Agent: python-requests/2.25.1` - используется для идентификации приложения или узла, который обращается.

Перевод на человеческий язык: `python-requests/2.25.1` обращается к `Host` для того, чтобы совершить то, что он передал в `URL` `GET` запроса.

2. Кодировка

Обратил внимание на то, что URL закодирован. Давайте раскодируем, чтобы получить более читаемую строку.

![](https://i.imgur.com/mtXK22g.png)

Результат тоже раскодируем.

![](https://i.imgur.com/qkdPH3g.png)

`;` используется как разделитель.

Здесь уже можно разобраться.

![](https://i.imgur.com/FIOzYa5.png)

Наблюдаю файлы с разширение `.jsp`. Это документ JAVA для динамического создания веб-страниц. 

Вначале сервер понимает, что если присутствует файл `login.jsp`, то неавторизированным пользователям разрешено зайти на страницу. Но дальше цепочка обрывается, злоумышленник будто обманул и убедил сервер в своей авторизации и вызывает следующий модуль JAVA.

Файл `tmshCmd.jsp` думаю bash подобная оболочка, позволяющая выполнять команды, `?command=` нам об этом и говорит.

Далее `wget` - скачивания файла с указанного ресурса.

После `chmod 777`, которая повышает привелегии этого файла на выполнение всеми.

`sh oh...rip.sh` - выполнение файла

Далее опять `wget`, в котором указан веб-сайт. Зайдем на него.

![](https://i.imgur.com/cKURaR0.png)

Для чего злоумышленнику был необходим данный веб-сайт остается загадкой для меня, но факт, что он выполнил удаленную команду в пользовательском интерфейсе управления трафиком.

3. Каким образом выяснено, что это атака?

Обход авторизации -> повышение прав -> удаленное выполнение скрипта.
Даже по признакам легального поведения, выявленного в компании, думаю той же компании по информационной безопасности, данное поведение призналось бы нелегальным.

4. IoC

* Несанкционированное изменение конфигурационных файлов, реестров или настроек устройств
* Нетипичное для человека поведение
* Повышение привелегий
* Нетипичное использование веб

5. Каким образом можно удостовериться в успешности атаки.

Если файл выполнился, то должна остаться информация об этом. Это можно посмотреть в логах.

### Task 2

Представлен файл события из журнала аудита Windows.

![](https://i.imgur.com/n5o4kXa.png)

1. Что подозрительного в событии?

Конвертировал символы вначале, это опции какой-то команды.

![](https://i.imgur.com/D1e2fof.png)

Как минимум то, что опции передаются в неявном виде уже можно считать подозрительным.

Также вижу Invoke-Expression, который вычисляет или выполняет указанную строку. Видно, что строка собирается как массив, причем указано место каждого элемента массива.

2. С какой целью?

Возможно какие-то параметры запрещены к использованию данному пользователю и он решил передать данные параметры в качестве собранного массива элементов.

### Task 3

Даны события из журнала аудита.

![](https://i.imgur.com/GzocOEX.png)

1. Что является подозрительным?

Подозрительно то, что нет описания для данных кодов события.

2. По каким признакам?

Наткнулся на интересное событие.

![](https://i.imgur.com/8ZS1HAE.png)

Раскодировал, здесь попытка скачивания. Обращаю ваше внимание на то, что данное действие было запрещено данному пользователю. Он решил пойти подозрительным способом.

![](https://i.imgur.com/QAWDDlK.png)

Также использование dll.

![](https://i.imgur.com/bThJcfj.png)

3. Какие IoC можно выделить из этих событий?

* Обход контроля учетных записей PowerShel
* Использована Кодировка + Powershell
* Подключение dll (поясню)

`svchost.exe` - это процесс совместной службы, который служит оболочкой для загрузки служб из DLL-файлов. Данная служба была запущена не один раз. 
Также мы видели как Alexander Roshal распакует dll. 
Почему сторонний dll используется каким-то рядом с `WINWORD.exe`?

![](https://i.imgur.com/qUC3TZq.png)

Также отметил для себя `WmiPrvSE.exe` - один из необходимых системных процессов Windows, позволяющий программам на компьютере получать различную информацию о системе. Данный процесс заметил, не один раз.


4. Объясните суть подозрительных действий.

Вначале можно наблюдать, что Microsoft Office поврежден, так как присутствуют ошибки. Возможно просто помятая версия, а может быть это сделано умышленно, но нам этого не показали.

![](https://i.imgur.com/1pHiANG.png)

![](https://i.imgur.com/VhPZIys.png)

Далее видим открытие файла docx + открытие explorer. Возможно ничего подозрительного.

![](https://i.imgur.com/zmg1g8H.png)

Дальше прочитал в интернете, что файл в папке TEMP может быть опасен, тем не менее с ним, видимо взаимодействует `WINWORD.exe`.

![](https://i.imgur.com/2vbn5gS.png)

Поделились информацией о системе.

![](https://i.imgur.com/4QJnjLj.png)

После этого произошло обращение к Кэш. Его я не стал комментировать. Теперь видим открытие файла.

![](https://i.imgur.com/Vp5cWze.png)

Из интересного далее распаковка dll из архива.

![](https://i.imgur.com/aSLcmgS.png)

CONHOST.exe - отвечает за командную строку. Внешний вид и ее отдельные возможности.

![](https://i.imgur.com/z319MnQ.png)

Далее открытие Powershell.exe и скачавание.
Происходит запуск процесса в скрытом окне.

![](https://i.imgur.com/IQiEjUD.png)

![](https://i.imgur.com/o82knoz.png)

Я думаю это попытка запуска.

![](https://i.imgur.com/VC1aeV4.png)

### Task 4

Представлено корреляционное событие.

![](https://i.imgur.com/k3Klgv4.png)

1. Что произошло на узле?

Запуск процесса в скрытом окне. 

* Задетектили по параметру `-w hidden`
* Узел `larteshina.plat.form`
* Статус `success`
* Важность `high`
* Действие `execute`

Из интересного:

![](https://i.imgur.com/bCFQejN.png)

2. С помощью чего удалось добиться?

Если речь про атаку, то смотрим на `"event_src.subsys": "Microsoft-Windows-Powershell/Operational"`

Если имелось в виду, с помощью чего задетектили, то смотрим на `"primary_siem_app_name": "Maxpatrol 10"`

3. Адрес С&C и Порт.

Не обнаружено.

### Task 5

Поступила команда.

![](https://i.imgur.com/I2ddzZ5.png)

1. К какому семейству принадлежит данное ВПО?

Данное ВПО принадлежит классу шифровальщиков, потому что при написании кода использовались названия алгоритмов шифрования. Также скрипт загружает файлы.

![](https://i.imgur.com/25XTXme.png)

2. Имена файлов, которые могли быть загружены на компьютер.

![](https://i.imgur.com/pY5oUBN.png)

![](https://i.imgur.com/jJV1ake.png)

### Task 6

Приведена выдержка из событий журнала аудита.

![](https://i.imgur.com/dkPhKai.png)

1. Описание.

Пользователь vpumpkin скачал архив вместе с Payload.

![](https://i.imgur.com/4i8QFzs.png)

Дальше запускается cmd.

![](https://i.imgur.com/uAXcgDq.png)

А сразу после нее Powershell.

![](https://i.imgur.com/nnkwPAj.png)

С такими опциями.
Они обозначают: 
* -nol NoLogo
* -nop NoProfile
* -ep  ExecutionPolicy Bypass

То есть открывается Бэкдор.

![](https://i.imgur.com/NJPAWsD.png)

Далее `conhost.exe` для обработки консольного окна.

![](https://i.imgur.com/yYRmk5j.png)

Опять видим Бэкдор. А после него и сам Payload.
```
-enc сообщает Powershell, что следующая строка будет закодирована base64 и Powershell потребуется декодировать строку для выполнения кода
-noP указывает Powershell не использовать профиль. Профиль может содержать переменные среды и псевдонимы для текущей оболочки; это похоже на эквивалент .bashrc в Linux
-sta запускает команду Powershell как единый поток на компьютере
-w 1 указывает Powershell выполнить команду в фоновом режиме и скрыть приглашение Powershell
```

![](https://i.imgur.com/fUywegf.png)

Похоже на проксирование.

![](https://i.imgur.com/tAuu27b.png)

Декодируем строку внутри.

![](https://i.imgur.com/rZIGJPL.png)

Получатель.

![](https://i.imgur.com/kr2j9Oq.png)

Далее производятся удаленный действия на компьютере через Invoke-Command.

![](https://i.imgur.com/SHaMD8N.png)

Видим уже знакомые сведения о конфигурации пользователей и тд.

![](https://i.imgur.com/usdeSyU.png)

По ключевому слову можно догадаться какая цель атаки.

![](https://i.imgur.com/eyjQgO4.png)


2. Признаки, по которым можно выявлять подобную активность.

* Запрет на использование Invoke.

![](https://i.imgur.com/1CTYdR3.png)

* Отличается ThreadID и ProcessID.

![](https://i.imgur.com/ENYkMzg.png)

Мы уже проводили аудит активности в Powershell, думаю можно блочить флаги, которые я указал ранее. 

* Группа без участников, также в ней нет участников безопасности. 

Тоже можно блочить. Но с другой стороны по какому параметру, если это текст?

![](https://i.imgur.com/Npo4VSW.png)

Но далее встретил это. Выглядит еще более подозрительно.

![](https://i.imgur.com/xV8H1Im.png)

* Параметр name. 

Думаю легитимный разработчик не будет так называть ничего.

![](https://i.imgur.com/zwjQR4a.png)

