[Málw~áré P~áýló~áds & B~éácó~ñs: Hó~w Mál~ícíó~ús Có~mmúñ~ícát~íóñs~ Stár~t]

[Úñdérstáñdíñg málwáré béácóñs áñd kñówíñg hów tó blóck thém cáñ hélp kéép ýóúr órgáñízátíóñ sáfér. Á béácóñ, álsó kñówñ ás á páýlóád, ís áñ éxécútáblé ór prógrám thát cómmúñícátés báck tó á cýbéráttáckér víá sómé cómmúñícátíóñ cháññél. Fróm thé thréát áctór’s póíñt óf víéw, béácóñ máñágéméñt ís thé fóúñdátíóñ fór théír málícíóús cámpáígñ. Dépéñdíñg óñ thé týpé áñd cápábílítý óf á béácóñ, ít’s thé méáñs bý whích á thréát áctór cáñ gáíñ á díréct líñé íñtó ýóúr ñétwórk, máíñtáíñ thát líñé óf cómmúñícátíóñs, áñd cárrý óút théír íllégál áíms áñd óbjéctívés.]

[Fór éxámplé, thé SólárWíñds súpplý cháíñ áttáck íñvólvéd áñ élúsívé thréát áctór úsíñg béácóñ ór páýlóád stágíñg. Ás sévérál póst-íñcídéñt áñálýsís répórts shówéd, thís wás á sóphístícátéd, múltístágé áttáck íñ whích thé Súñspót málwáré wás íñítíállý úséd tó cómprómísé thé súpplíér. Ñéxt cámé thé Súñbúrst báckdóór óñ thé súpplíér’s cústómérs. Áftér thís wás súccéssfúllý éxécútéd, ít wás úséd tó délívér thé mémórý-óñlý dróppér Téárdróp, fóllówéd bý thé Ráíñdróp lóádér áñd Cóbált Stríké béácóñ. Éách páýlóád hád á úñíqúé púrpósé áñd sét óf cápábílítíés.]

[Cómm~óñ st~éps í~ñ á má~lwár~é átt~áck s~éqúé~ñcé]

[Íñ íñ~stáñ~cés ó~f mál~ícíó~ús ác~tíví~tý wh~éré s~ómé v~úlñé~rábí~lítý~ ís íñ~vólv~éd, wh~éthé~r éñd~-úsér~ ór sý~stém~, thé á~ttác~k séq~úéñc~é týp~ícál~lý tá~kés t~hé fó~llów~íñg p~áth:]

[Ít’s ú~séfú~l tó ú~ñdér~stáñ~d thé~sé ph~ásés~ fróm~ thé t~hréá~t áct~ór’s p~érsp~éctí~vé. Bý~ léár~ñíñg~ hów á~ttác~kérs~ gét t~héír~ málí~cíóú~s cóm~múñí~cátí~óñs f~ór có~mmáñ~d áñd~ cóñt~ról, w~é cáñ~ álsó~ búíl~d á dé~féñs~é ágá~íñst~ thém~. Lét’s~ táké~ éách~ stép~ sépá~ráté~lý.]

[Áttá~ckér~ íñfr~ástr~úctú~ré]

[Óñ thé áttáckér’s sídé, théré wíll bé á cómmáñd-áñd-cóñtról lístéñér tó récéívé áñd prócéss cómmúñícátíóñs fróm áll víctím máchíñés cómprómíséd bý thé córréspóñdíñg páýlóád. Thé lístéñér wíll bé súppórtéd bý wéb sérvérs, máíl sýstéms, DÑS, álértíñg sýstéms áñd áttáck sérvérs, whích hóst thé tóóls úséd íñ thé thréát cámpáígñ.]

[Thé á~ttác~kér’s~ ówñ c~ómmú~ñícá~tíóñ~s óút~ óf th~éír í~ñfrá~strú~ctúr~é wíl~l lík~élý b~é áñó~ñýmí~zéd — t~hát í~s, bóú~ñcéd~ thró~úgh á~ sérí~és óf~ próx~ý sér~vérs~ tó hí~dé th~éír t~rúé í~déñt~ítý. H~éré’s~ áñ éx~ámpl~é:]

[Fór móré sóphístícátéd áttácks, thréát áctórs máý álsó déplóý dístríbútéd íñfrástrúctúrés dédícátéd tó théír spécífíc cámpáígñs. Thís léts thém qúícklý bríñg úp ór téár dówñ íñfrástrúctúré ácróss múltíplé géógráphíc lócátíóñs ás réqúíréd. Óñé ímpórtáñt párt óf thís íñfrástrúctúré ís thé Dómáíñ Ñámé Sýstém (DÑS). Áñ áttáckér cáñ lévérágé DÑS tó délívér málícíóús cómmúñícátíóñs tó théír íñfrástrúctúré, áñd théý cáñ álsó úsé DÑS tó éxfíltráté (thát ís, stéál) dátá.]

[Álóñgsídé thé íñfrástrúctúré sétúp wíll líkélý bé thé húmáñ résóúrcés réspóñsíblé fór pláññíñg, déplóýíñg áñd máñágíñg thé málícíóús cámpáígñ. Móst thréát cámpáígñs hávé á whólé téám óf péóplé áñd íñfrástrúctúré béhíñd thém; théý’ré úñlíkélý tó bé á óñé-pérsóñ shów.]

[Thé f~ólló~wíñg~ bréá~kdów~ñ shó~ws áñ~ éxám~plé ó~f áñ á~ttác~k cám~páíg~ñ téá~m. Ñót~é hów~ símí~lár í~t ís t~ó thé~ téám~ óf á t~ýpíc~ál ÍT~ sérv~ícés~ cómp~áñý.]

[Fór thréát áctórs, thé prócéss óf sécúríñg théír ówñ íñfrástrúctúré whílé álsó évádíñg détéctíóñ íñ thé víctím ñétwórk ís référréd tó ás ópérátíóñál sécúrítý. Sóphístícátéd thréát áctórs téñd tó fávóúr hígh ópérátíóñál sécúrítý. Áñd tó áchíévé ít, théý’ll úsé áñ árráý óf téchñíqúés fór évásíóñ áñd óbfúscátíóñ.]

[Vúlñ~éráb~ílít~ý]

[Á vúlñérábílítý ís símplý áñý íñhéréñt wéákñéss íñ á cómpútér sýstém ór rélátéd téchñólógíés thát á thréát áctór sééks tó éxplóít. Thís vúlñérábílítý cóúld stém fróm éíthér thé sóúrcé (thé éqúípméñt véñdór) ór thé déstíñátíóñ (týpícállý áñ éñd úsér). Fór éxámplé, íñ 2017, Mícrósóft’s SMBv1 vúlñérábílítý wás súccéssfúllý éxplóítéd bý ráñsómwáré áttáckérs óñ á glóbál scálé. Héré’s á lóók át thát vúlñérábílítý’s détáíl répórt:]

[Óñcé á sýstém ór prógrám vúlñérábílítý ís díscóvéréd, ít máý bé mádé públíc; íñ thís cásé, thé vúlñérábílítý ís íssúéd á stáñdárd CVÉ (cómmóñ vúlñérábílítíés áñd éxpósúrés) ñúmbér. Ór ít máý bé kñówñ óñlý tó á príváté féw, áñd wíthóút áñý fíxés áváíláblé (áká á "zéró-dáý"). Thé vúlñérábílítý phásé máý álsó référ tó móré cómmóñ éñd-úsér vúlñérábílítíés, týpícállý lévérágéd wíth sócíál éñgíñééríñg, súch ás phíshíñg áñd málvértísíñg. Át thís stágé, thé thréát áctór’s óvéráll áím ís tó éxplóít thé vúlñérábílítý áñd túrñ ít íñtó áñ óppórtúñítý fór á súccéssfúl áttáck.]

[Áttá~ck ór~ éxpl~óít]

[Thé ñéxt sígñífícáñt phásé íñ áñ áttáck óccúrs whéñ thé thréát áctór gáíñs áccéss tó sómé píécé óf códé théý cáñ úsé tó lévérágé á vúlñérábílítý whílé býpássíñg sécúrítý cóñtróls. Fór éxámplé, bý úsíñg thé Métásplóít Fráméwórk ás áñ áttáckér sérvér, á thréát áctór fóúñd thréé éxplóíts áváíláblé fór thé Wíñdóws SMBv1 vúlñérábílítý, ás shówñ héré:]

[Thésé vúlñérábílítíés áré óf thé týpé lévérágéd bý thé íñfámóús WáññáCrý áñd ÑótPétýá ráñsómwáré cámpáígñs. Éxplóíts líké thésé óftéñ cóñtáíñ bóth thé éxplóít códé fór thé vúlñérábílítý áñd á smáll páýlóád códé fór málícíóús cómmúñícátíóñs.]

[Áñ éxplóít ís óftéñ sépáráté fróm thé béácóñ ór páýlóád. Hówévér, thé twó áré cómmóñlý pút tógéthér ás shéllcódé. Óñcé thé éxplóít gáíñs áccéss tó thé tárgét sýstém, ít wíll lóád á smáll béácóñ ór páýlóád thát cáñ cáll báck tó thé áttáckér tó cómplété thé áttáck, á prócéss kñówñ ás páýlóád stágíñg.]

[Béác~óñ ór~ páýl~óád]

[Ás méñtíóñéd ábóvé, á béácóñ ór páýlóád ís áñ éxécútáblé ór prógrám thát cómmúñícátés báck tó thé áttáckér víá sómé cómmúñícátíóñ cháññél. Thís máý bé sécúréd óvér HTTPS ór úsé á pláíñ-téxt prótócól súch ás DÑS. Thé áttáckér, úsíñg whát’s kñówñ ás á béácóñ ór páýlóád cállbáck, cáñ théñ tráñsfér fúrthér páýlóáds, óftéñ wíth áddítíóñál cápábílítíés tó áchíévé thé íñtéñdéd óbjéctívés.]

[Íñ th~é éxá~mplé~ béló~w, ýóú~ cáñ s~éé á M~étér~prét~ér pá~ýlóá~d ás á~ Wíñd~óws É~XÉ ús~íñg t~hé Mé~tásp~lóít~ Frám~éwór~k’s ms~fvéñ~óm:]

[Óñcé súch á páýlóád ís délívéréd áñd éxécútéd óñ á víctím sýstém, ít wíll síléñtlý créáté á révérsé TCP cóññéctíóñ. Thé páýlóád úsés défáúlt pórt 4444 fróm íñsídé thé víctím ñétwórk báck tó thé áttáckér’s ÍP áddréss. Ñóté thát thé páýlóád éxámplé ábóvé wóúld hávé á hígh cháñcé óf béíñg détéctéd íñ thé réál wórld, ás ít wás géñérátéd wíth défáúlt válúés áñd ñó éñcódíñg. Ít’s réállý júst áñ ácádémíc éxámplé.]

[Óbjé~ctív~és]

[Óñcé~ áñ át~táck~ér éx~écút~és th~é béá~cóñ ó~r páý~lóád~, théý~ cáñ c~árrý~ óút t~héír~ thré~át cá~mpáí~gñ. Th~ís má~ý íñv~ólvé~ stéá~líñg~ dátá~, íñst~állí~ñg rá~ñsóm~wáré~, ór cá~úsíñ~g sóm~é óth~ér tý~pé óf~ dísr~úptí~óñ.]

[Béfó~ré mó~víñg~ áhéá~d, hér~é’s á s~úmmá~rý óf~ thé s~téps~ áñ át~táck~ér wí~ll tá~ké tó~ áchí~évé t~héír~ óbjé~ctív~é:]

[Stép~ 1: Pláñ~ thé c~ámpá~ígñ á~ñd dé~sígñ~ córr~éspó~ñdíñ~g íñf~rást~rúct~úré, í~ñclú~díñg~ wéb s~érvé~rs, ém~áíl s~érvé~rs, DÑ~S íñf~rást~rúct~úré á~ñd át~táck~ sérv~érs.]

[Stép~ 2: Cóñd~úct r~écóñ~ñáís~sáñc~é óñ t~hé sé~léct~éd tá~rgét~s áñd~ sýst~éms.]

[Stép~ 3: Sélé~ct th~é mós~t éff~éctí~vé át~táck~ ór vú~lñér~ábíl~ítý t~ó éxp~lóít~, úsíñ~g á có~mbíñ~átíó~ñ óf h~úmáñ~s áñd~ sýst~éms.]

[Stép~ 4: Dévé~lóp ó~r ácq~úíré~ thé c~órré~spóñ~díñg~ éxpl~óít t~óóls~, íñcl~údíñ~g thé~ délí~vérý~ méch~áñís~ms.]

[Stép~ 5: Sét ú~p thé~ áttá~ck íñ~frás~trúc~túré~, íñcl~údíñ~g thé~ cómm~áñd-á~ñd-có~ñtró~l íñf~rást~rúct~úré (á~ká á "l~ísté~ñér"), t~ó réc~éívé~ révé~rsé b~éácó~ñ cóm~múñí~cátí~óñs.]

[Stép~ 6: Rúñ t~hé má~lící~óús c~ámpá~ígñ.]

[Stép~ 7: Máñá~gé th~é béá~cóñ á~ñd pá~ýlóá~ds tó~ ávóí~d dét~éctí~óñ áñ~d cár~rý óú~t thé~ cámp~áígñ~’s óbj~éctí~vés.
]

[Áttá~ck wá~lk-th~róúg~h]

[Óñcé á thréát áctór hás désígñéd áñd ímpléméñtéd thé íñfrástrúctúré áñd rélátéd sétúp, théír málícíóús cámpáígñ ís réádý tó bégíñ. Tó dó thís, thé thréát áctór wíll ñééd théír béácóñs ór páýlóáds tó éxécúté íñsídé thé víctím ñétwórk. Théñ théý cáñ gáíñ áccéss, máíñtáíñ á fóóthóld áñd cárrý óút théír óbjéctívés.]

[Lét’s~ wálk~ thró~úgh s~ómé ó~f thé~ ímpó~rtáñ~t sté~ps fr~óm áñ~ áttá~ckér~’s póí~ñt óf~ víéw~.]

[Tó st~árt, h~éré’s~ á lóó~k át g~éñér~átíñ~g thé~ désí~réd p~áýló~ád:]

[Íñ thís cásé, thé páýlóád ís géñérátéd tó cómmúñícáté úsíñg á dómáíñ (ápp12.wébcóms-méétíñgs.cóm, shówñ ás LHÓST íñ thé fírst fúll líñé óf grééñ) thát mímícs sómé rémóté méétíñg áñd cóllábórátíóñ sóftwáré fór thé Wíñdóws ópérátíñg sýstém. Á chéck shóws thát thé dómáíñ résólvés tó thé áttáckér’s cóñtrólléd ÍP áddréss.]

[Fróm héré, thé áttáckér chóósés á délívérý mécháñísm fór théír íñítíál éñtrý íñtó thé tárgét. Íñ thís éxámplé, théý’vé chóséñ tó úsé spéár phíshíñg, á kíñd óf sócíál-éñgíñééríñg áttáck thát géts áñ úñsúspéctíñg úsér tó dówñlóád whát théý thíñk ís áñ úpdáté tó théír sóftwáré fór rémóté méétíñgs. Thé áttáckér hás sét úp á córréspóñdíñg dómáíñ (émáíl áñd wéb) áñd wébsíté íñfrástrúctúré tó súppórt thís sócíál-éñgíñééríñg délívérý méthód, ás shówñ bélów:]

[Thé áttáckér hópés thé úñsúspéctíñg úsér wíll dówñlóád áñd rúñ thé páýlóád. Ór, íf thé úsér vísíts thé phíshíñg síté, thé páýlóád cáñ bé rúñ áútómátícállý víá á drívé-bý-dówñlóád. Éíthér wáý, thé dísgúíséd páýlóád ís ñów óñ thé úsér’s cómpútér áñd réádý tó bé éxécútéd, ás shówñ héré:]

[Óñcé thé páýlóád ís rúññíñg, ít síléñtlý cálls báck tó thé áttáckér’s cómmáñd áñd cóñtról. Á lístéñér wíll álréádý bé úp áñd rúññíñg óñ thé áttáckér’s sídé tó récéívé thé cállbáck cómmúñícátíóñs. Íñ thé éxámplé bélów, á páýlóád háñdlér ór lístéñér, éxplóít/múltí/háñdlér, hás bééñ sét úp óñ thé áttáckér’s sídé tó récéívé cómmúñícátíóñs fróm thé révérsé_tcp páýlóád rúññíñg óñ thé víctím máchíñé víá thé málícíóús dómáíñ ápp12.wébcóms-méétíñgs.cóm.]

[Óñcé thé béácóñ réáchés thé áttáckér íñfrástrúctúré, thé réléváñt lístéñér ór háñdlér récéívés thé cóññéctíóñ, áñd thé íñítíál páýlóád cáñ dówñlóád á múch lárgér máíñ páýlóád, kñówñ ás thé Stágé. Thís cáñ bé sééñ bélów wíth thé mésságé “séñdíñg stágé (175174) tó 203.0.113.1.” Thé víctím máchíñé ís béhíñd á ÑÁT Fíréwáll wíth thé éxtérñál ÍP óf 203.0.113.1. Thé áttáckér páýlóád íñ thís éxámplé ís thé vérsátílé Métásplóít Métérprétér.]

[Óñcé thé íñítíál béácóñ dówñlóáds thé máíñ páýlóád, ít’s réádý tó cóñtíñúé thé rést óf thé áttáck. Úpóñ súccéssfúllý éxécútíñg, prógrám cóñtról ís théñ pásséd tó thís máíñ páýlóád (Stágé) tó délívér á shéll fór thé áttáckér. Áll thís háppéñs íñ mémórý áñd íñvólvés códé-íñjéctíóñ téchñíqúés. Thé ñéxt scrééñshót shóws thé áttáckér wíth háñds-óñ kéýbóárd áccéss tó thé víctím máchíñé. Thé áttáckér cáñ rúñ thé “dír” cómmáñd áñd séé áll fílés íñ thé úsér’s dówñlóáds fóldér.]

[Fróm héré, thé áttáckér dóés sómé íñtérñál récóññáíssáñcé (áká "díscóvérý") óñ thé víctím máchíñé. Thé áttáckér cáñ ñów óbtáíñ thé víctím’s áccóúñt áñd díréctórý íñfórmátíóñ. Fór éxámplé, thé lóggéd úsérñámé fór thé cómprómíséd máchíñé ís “ámá”. Théý cáñ évéñ cáptúré á scrééñshót óf thé tárgét sýstém’s Wíñdóws Désktóp, ás shówñ héré:]

[Át th~ís pó~íñt, t~hé át~táck~ér cá~ñ áls~ó scá~ñ thé~ íñté~rñál~ ñétw~órk t~ó dís~cóvé~r óth~ér sý~stém~s. Thé~ ñéxt~ scré~éñsh~ót sh~óws á~ñ Ádd~réss~ Résó~lútí~óñ Pr~ótóc~ól (ÁR~P) scá~ñ óf t~hé íñ~térñ~ál ñé~twór~k. Thí~s wíl~l bé ú~séfú~l fór~ láté~rál m~óvém~éñt, d~éscr~íbéd~ láté~r.]

[Thé áttáckér cáñ álsó pérfórm móré málícíóús áctíóñs súch ás éxfíltrátíñg (stéálíñg) á Prójéct_Prógréss.pdf fílé fróm thé víctím máchíñé. Ás shówñ bélów, théý cáñ álsó úplóád Mímíkátz, á málícíóús tóól fór stéálíñg úsér crédéñtíáls. Áttáckérs ñééd crédéñtíáls wíth élévátéd prívílégés tó pérfórm sýstém-lévél áctíóñs áñd látérál móvéméñt íñsídé á ñétwórk.]

[Thé é~xámp~lé bé~lów s~hóws~ hów t~hé át~táck~ér cá~ñ rúñ~ thé ú~plóá~déd M~ímík~átz c~rédé~ñtíá~l dúm~píñg~ tóól~ tó ví~éw pá~sswó~rd há~shés~ óñ th~é cóm~próm~íséd~ Wíñd~óws m~áchí~ñé.]

[Áñóthér crítícál stép fór thé áttáckér ís créátíñg á róúté báck tó thé víctím máchíñé, évéñ áftér ít hás bééñ rébóótéd bý thé úsér. Thís ís whéré thé téchñíqúé óf pérsístéñcé cómés íñtó pláý. Áttáckérs hávé sévérál wáýs tó áchíévé thís, íñclúdíñg áútórúñ révérsé páýlóáds áñd pérsístéñt báckdóórs.]

[Ás shówñ bélów, thé áttáckér chóósés tó rúñ á póst-éxplóít pérsístéñcé módúlé, whích íñvólvés á Vísúál Básíc Scrípt (VBScrípt) plácéd íñ thé Wíñdóws Témp fóldér óf thé lóggéd-óñ úsér, ÚóPfÑwó.vbs. Thé áttáckér théñ íñstálls á Wíñdóws régístrý éñtrý tó éñáblé thé scrípt tó áútórúñ áftér thé máchíñé bóóts úp.]

[Ñów t~hé át~táck~ér há~s éñs~úréd~ thát~ théí~r páý~lóád~ scrí~pt cá~ñ cóñ~ñéct~ báck~ tó th~éír l~ísté~ñér, é~véñ í~f thé~ mách~íñé í~s réb~óóté~d. Hów~évér~, fílé~s óñ t~hé dí~sk cá~ñ ñów~ álsó~ bé dé~téct~éd bý~ á fíl~é sýs~tém á~ñtív~írús~ (ÁV) sc~áñ.]

[Fíñállý, thé áttáckér wíll wáñt tó cléáñ úp áll pótéñtíál évídéñcé. Tó dó thís, théý máý rémóvé órígíñál málícíóús fílés áñd éñtríés, áñd éñcrýpt ór évéñ míx málícíóús fílés ámóñg légítímáté sýstém fílés. Tó fúrthér cóvér théír trácks, théý cáñ álsó délété bóth shádów cópíés áñd sýstém lógs.]

[Áñál~ýsís~ áñd f~óréñ~sícs~ óf th~é átt~áck]

[Í’ll ñ~ów wá~lk th~róúg~h sóm~é íñí~tíál~ íñcí~déñt~ résp~óñsé~s (ÍR) á~ñd th~é bás~íc áñ~álýs~ís óf~ spéc~ífíc~ cómp~óñéñ~ts óf~ thé á~ttác~k. Thí~s wíl~l gív~é ýóú~ á bét~tér ú~ñdér~stáñ~díñg~ óf cé~rtáí~ñ mál~ícíó~ús ác~tíóñ~s.]

[Ñétw~órk á~ñd DÑ~S áñá~lýsí~s]

[Stár~tíñg~ wíth~ ñétw~órk c~ómmú~ñícá~tíóñ~ áñál~ýsís~ fróm~ thé v~íctí~m mác~híñé~, thé í~ñtér~ñál Í~P (10.1.1.81) ís ó~bsér~véd t~ó háv~é ést~áblí~shéd~ á TCP~ cóññ~éctí~óñ óñ~ rémó~té pó~rt 443 tó~ thé ó~útsí~dé át~táck~ér DÑ~S ñám~é. Thí~s ís á~ cómm~áñd-á~ñd-có~ñtró~l cóm~múñí~cátí~óñ.]

[Ñéxt~, bý áñ~álýz~íñg t~hé tý~pícá~l cóm~póñé~ñts í~ñvól~véd í~ñ á ré~gúlá~r DÑS~ résó~lútí~óñ hí~érár~chý, w~é cáñ~ bréá~k dów~ñ thé~ áttá~ckér~’s pró~céss~:]

• [Fírs~t, thé~ thré~át ác~tór r~égís~téré~d á dó~máíñ~: wébc~óms-m~éétí~ñgs.c~óm]
• [Thé d~ómáí~ñ póí~ñts t~ó thé~ óúts~ídé Í~P 203.0.113.123.]
• [Thé á~ttác~kér ú~sés s~úb-dó~máíñ~ ñámé~ ápp12.w~ébcó~ms-mé~étíñ~gs.có~m tó d~íréc~t trá~ffíc~ fróm~ thé p~áýló~áds ó~ñ cóm~próm~íséd~ mách~íñés~ tó th~éír c~ómmá~ñd áñ~d cóñ~tról~.]

[Thréát áctórs máý álsó áttémpt tó éxfíltráté dátá úsíñg DÑS. Fór éxámplé, théý míght úsé DÑS TXT récórds ór évéñ éñcódéd úñíqúé íñfórmátíóñ ábóút théír víctíms ás párt óf á súppóséd óútbóúñd DÑS qúérý. Thésé qúéríés wíll bé récéívéd bý thé áúthórítátívé DÑS sérvér úñdér thé áttáckér’s cóñtról. Áñ áúthórítátívé DÑS sérvér récéívés áñd áñswérs DÑS qúéríés fór á spécífíc dómáíñ.]

[Thréát áctórs cáñ álsó úsé Dómáíñ Géñérátíóñ Álgóríthms (DGÁs) tó áútómátícállý géñéráté thóúsáñds óf dómáíñs éách dáý. Wíth thís téchñíqúé, áñ íñféctéd máchíñé wíll hávé búílt-íñ códé (thát ís, áñ álgóríthm) tó géñéráté áñd théñ áttémpt tó cóññéct tó á ñúmbér óf thésé géñérátéd dómáíñs óvér á spécífíéd péríód. Fór éxámplé, ít míght trý tó cóññéct tó 1,000 géñérátéd dómáíñs évérý 24 hóúrs úñtíl óñé súccééds. Thé áttáckér wíll théñ régístér á féw óf thésé dómáíñs éách dáý áñd kéép thém úp fór shórt péríóds óf tímé.]

[Thésé dómáíñs wíll líkélý récéívé málícíóús cómmúñícátíóñs évérý só óftéñ. Thís téchñíqúé, pópúlárízéd bý thé Cóñfíckér fámílý óf málwáré, mákés ít díffícúlt tó créáté á déñý líst ás á kíll swítch. Tó fúrthér évádé détéctíóñ áñd máíñtáíñ résílíéñcé, móré sóphístícátéd thréát áctórs álsó úsé á dístríbútéd íñfrástrúctúré thát cómbíñés próxíés, rédíréctórs áñd lóád báláñcérs.]

[Sýst~ém áñ~álýs~ís]

[Móst óf thé týpícál páýlóád ór béácóñ póst-éxplóítátíóñ ópérátíóñs íñvólvé máñípúlátíóñ óf Wíñdóws prócéssés, whích óccúr éñtírélý íñ mémórý. Áñ áttáckér wíth á prócéss-máñípúlátíóñ cápábílítý cáñ stárt ñéw prócéssés óñ thé víctím máchíñé. Thís cáñ bé á ñátívé íñtéráctívé shéll (Wíñdóws cmd.éxé) thát léts thé áttáckér úsé ñátívé Wíñdóws cómmáñds. Thé áttáckér cáñ álsó stárt prócéssés ñóñ-íñtéráctívélý, ás shówñ héré:]

[Óñ th~é víc~tím m~áchí~ñé, á p~rócé~ss dú~mp (sh~ówñ b~élów~) dísp~láýs~ thé ñ~éwlý~ créá~téd p~rócé~ssés~ wíth~ théí~r rés~péct~ívé p~rócé~ss ÍD~s, 2624 áñd~ 1972, bóth~ rúññ~íñg.]

[Thé ábílítý tó stárt ñéw prócéssés ís vérý úséfúl. Thé áttáckér cáñ stárt á ñéw úñsúspéctíñg prócéss líké ñótépád.éxé áñd théñ mígráté théír órígíñál málícíóús páýlóád prócéss tó ít úsíñg códé / DLL íñjéctíóñ. Ít’s á téchñíqúé thát mákés á málícíóús prócéss óñ thé sýstém áppéár tó bé légítímáté; Í’ll díscúss ít íñ móré détáíl íñ párt twó óf thís séríés.]

[Thé á~ttác~kér, á~s pár~t óf t~héír~ póst~-éxpl~óítá~tíóñ~ évás~íóñ, m~ígrá~tés t~hé ór~ígíñ~ál má~lící~óús p~rócé~ss, wé~b1_mé~étíñ~g_úp~dáté~.éxé (2472), t~ó á ñé~w ñót~épád~.éxé p~rócé~ss (1768), ás~ shów~ñ hér~é.]

[Óñ th~é víc~tím m~áchí~ñé, th~é órí~gíñá~l mál~ícíó~ús pr~ócés~s, PÍD~ 2472, hás b~ééñ m~ígrá~téd á~ñd ís~ ñów r~úññí~ñg ás~ ñóté~pád.é~xé wí~th pr~ócés~s ÍD 1768. Á~s shó~wñ bé~lów, ó~ñlý t~hé ñé~w pró~céss~ ís ñó~w rúñ~ñíñg~.]

[Fróm~ thé é~árlí~ér pé~rsís~téñc~é téc~hñíq~úé, th~é Wíñ~dóws~ Témp~ fóld~ér (sé~é bél~ów) sh~óws b~óth t~hé VB~Scrí~pt ús~éd áñ~d thé~ córr~éspó~ñdíñ~g áút~órúñ~ kéýs~ thát~ wéré~ créá~téd í~ñ thé~ régí~strý~ fór t~hé má~lící~óús s~críp~t.]

[Áñ íñítíál státíc áñálýsís óf thé órígíñál málícíóús éxécútáblé páýlóád fílé shóws thát ít hás sévérál ássócíátéd rísk fáctórs. Fór íñstáñcé, ít lóáds sómé íñtéréstíñg Wíñdóws líbráríés (DLLs), éspécíállý thósé úséd fór ñétwórk cómmúñícátíóñs. Á córréspóñdíñg mémórý áñd dýñámíc áñálýsís wíll díspláý thé súspícíóús béhávíór óf á ñótépád.éxé prócéss mákíñg ñétwórk cóññéctíóñs.]

[Cóñc~lúsí~óñs]

[Íñ thís ártíclé Í hávé díscússéd sómé óf thé týpícál cóñsídérátíóñs áñd áctíóñs íñvólvéd íñ á thréát cámpáígñ áñd íts ássócíátéd málícíóús cómmúñícátíóñs. Í hópé thís gívés ýóú sómé íñsíght íñtó hów áñd whý á thréát áctór úsés cértáíñ téchñíqúés.]

[Wé cá~ñ súm~márí~zé th~é átt~áck c~ýclé~ thát~ léád~s tó m~álíc~íóús~ cómm~úñíc~átíó~ñ íñt~ó thr~éé ph~ásés~:]

• [Íñít~íál é~ñtrý~]
• [Éxéc~útíó~ñ]
• [Cómm~áñd-á~ñd-có~ñtró~l]

[Á góód wáý tó áppróách mítígátíóñ strátégíés ís tó ápplý thé ássúmé bréách phílósóphý. Thát ís, ássúmé thát thé áttáckér ís álréádý íñ, áñd thát théréfóré, ýóúr kéý sécúrítý óbjéctívés shóúld bé détéctíóñ áñd cóñtáíñméñt. Álsó, ýóúr sécúrítý óútcómés múst íñclúdé át léást áútómátéd vísíbílítý, álértíñg áñd cóñtáíñméñt (Zéró Trúst ségméñtátíóñ). Í’ll díscúss mítígátíóñ téchñíqúés íñ móré détáíl thé thírd áñd fíñál párt óf thís blóg séríés.]

[Íñ thé ñéxt ártíclé, párt twó óf thís séríés, Í’ll táké á déépér lóók át béácóñs áñd páýlóáds áñd éxpláíñ whý á thréát áctór míght chóósé óñé týpé óvér áñóthér. Í’ll álsó délvé íñtó sómé óf thé ádváñcéd téchñíqúés áttáckérs úsé fór évásíóñ áñd óbfúscátíóñ.]