Атак на счета бразильцев становится все больше. К тому времени, когда мы писали эту главу, компания Talos выявила новую атаку. В блоге Banking Trojan Attempts To Steal Brazillion на странице http://blog.talosintelligence.com/2017/09/brazilbanking.html описы-

вается сложное фишинговое письмо, в котором использовался легитимный бинарный файл цифровой подписи компании «VMware».

Исследование скомпрометированной системы в гибридном облаке

В этом сценарии скомпрометированная система будет расположена локально, а у компании есть облачная система мониторинга, в данном примере – Azure Security Center. Чтобы показать, каким образом сценарий с гибридным обла- ком может быть похож на предыдущий, мы будем использоватьтот же случай, чтоиранее.Пользовательполучилфишинговоеписьмо,нажалнагиперссылку, иегокомпьютербылскомпрометирован.Разницатеперьсостоитвтом,чтосу- ществует активный сенсор,осуществляющий мониторинг системы.Он выдаст оповещение для SecOps,и с пользователем свяжутся.Пользователям не нужно ждать несколько дней, чтобы понять, что их компьютер скомпрометировали. Ответ в данном случае более быстрый и точный.

Уинженера SecOps естьдоступ к панели мониторинга Центра безопасности. Когда создается оповещение, она показывает флаг NEW, помимо имени опо- вещения. Инженер также заметил, что был создан новый инцидент в области безопасности, как показано на рис. 13.8.

Как упоминалось в главе 11 «Активные сенсоры», инцидент в Azure Security Center представляет собой два или более оповещений, которые взаимосвяза- ны.Другими словами,они являются частью одной итой же кампании,направ- ленной против системы, выбранной в качестве цели. Кликнув мышью на этот инцидент, инженер SecOps заметил следующие предупреждения (рис. 13.9).

зованы в соответствии со временем, а не приоритетом. В нижней части этой панели есть два заметных события, представляющих собой дополнительную информацию, которая может быть полезна во время расследования. Первое событие всего лишь сообщает, что установленная на локальном компьютере антивирусная программа смогла заблокировать попытку переноса фрагмента вредоносного ПО в локальной системе. Это хорошо, но, к сожалению, у злоумышленника была высокая мотивация для продолжения атаки, и ему удалось отключить антивирус в локальной системе.Важно помнить,что для этого злоумышленникунужнобылоповыситьпривилегииизапуститькомандутипа Taskkill или killav, чтобы завершить процесс антивирусного ПО. Далее у нас идет предупреждение со средним приоритетом, показывающее, что было обнаружено подозрительное имя процесса (рис. 13.10).

Рис.13.10

Вданном случае это процесс mimikatz.exe, который также использовался

впредыдущем случае. Вы можете спросить: почему это средний приоритет,

почему в оповещении говорится: Suspicious process name detected (Обнаружено подозрительное имя процесса).

Еще одним важным фактом здесь является тип атакуемого ресурса: NonAzure Resource – именно так вы определяете, что это локальный компьютер или виртуальная машина в другом облачном провайдере (например, Amazon AWS). Переходя к следующему оповещению, мы видим надпись Suspicious Process Execution Activity Detected (Обнаружена подозрительная актив-

ность– выполняется процесс) – рис. 13.11.

Рис.13.11

Описание этого предупреждения вполне ясно дает понять, что происходит в данный момент, и в этом одно из самых больших преимуществ системы мониторинга, отслеживающей поведение процесса. Она будет наблюдать за этими шаблонами и сопоставлять эти данные со своими собственными сводками данных об угрозах, чтобы понять, являются эти действия подозрительными илинет.Предоставленныешагипоисправлениюмогуттакжепомочьпредпри-

изучить­детали проблемы, связанной с информационной безопасностью. Это функция расследования. В таком случае мы выберем второе оповещение из этого списка и нажмем кнопку Investigation (Расследование). Диаграмма рас- следования для этого конкретного случая показана на рис. 13.14.

Рис.13.14

Каждая сущность на этой диаграмме предоставляет сведения о своем соб- ственном объекте, и при наличии других сущностей, связанных с выбран- ной, вы можете повернуть ее, щелкнув по самому объекту, как показано на рис. 13.15.

Карта расследований помогает визуализировать шаги, которые были пред- приняты во время этой атаки,и лучше понять взаимосвязь между всеми субъ- ектами, вовлеченными в процесс.