Атака ближайшего соседа: как российская APT использовала соседние сети Wi-Fi для скрытого доступа

#статья #перевод #APT #WiFi

Расследование, длившееся полтора месяца, показало, что злоумышленникам удалось проникнуть в сеть Организации A через корпоративную Wi-Fi-сеть. Для этого они использовали цепочку компрометаций нескольких организаций, расположенных рядом с целью. При этом сами атакующие находились за тысячи километров от цели, по другую сторону океана.

Ссылка на статью

LH | Новости | Курсы | OSINT

Протокольное туннелирование

#APT #взлом #RedTeam #malware #tunnel

Злоумышленники могут использовать туннелирование, чтобы избежать обнаружения или обеспечить доступ к системам, недоступным напрямую. Туннелирование включает в себя инкапсуляцию одного протокола в другой. Это поведение может скрывать вредоносный трафик, сливаясь с существующим трафиком и предоставлять внешний слой шифрования (аналогично VPN). Туннелирование также может обеспечить маршрутизацию сетевых пакетов, которые в противном случае не достигли бы своей предполагаемой цели, например, трафика SMB, RDP или другого, который был бы отфильтрован сетевыми устройствами.

Примеры из жизни:

• UAT-5647 (RomCom) с конца 2023 года проводит атаки на госструктуры Украины и польские организации. Злоумышленники обходят обнаружение через туннелирование трафика и использование инструментов вроде PuTTY для связи с внешними серверами.

• Группировка Scattered Spider использует SSH туннелирование, для передвижения в атакуемой сети.

• TEMP.Velesused применяли зашифрованные SSH-туннели на основе PLINK для передачи инструментов и обеспечения RDP-соединений в инфраструктуру.

• APT Chimera инкапсулировали трафик Cobalt Strike C2 в DNS и HTTPS пакеты.

• APT Ember Bear использовала ProxyChains для туннелирования протоколов во внутренние сети.

LH | Новости | Курсы | OSINT