Jak po kliknięciu w phishing napastnicy przechodzą z jednego laptopa do reszty sieci?

Zwykle w kilku przewidywalnych krokach. Złośliwy plik lub link daje im kanał zdalnego sterowania prowadzący do ich własnego serwera, widoczny jako regularne połączenia wychodzące. Potem się rozglądają: jakie są serwery, udziały i konta, często skanując sieć wewnętrzną albo odpytując katalog. Następnie zbierają kolejne dane uwierzytelniające, z pamięci laptopa, haseł zapisanych w przeglądarce lub z innych systemów, i używają ich do logowania na kolejne maszyny zwykłymi narzędziami administracyjnymi, takimi jak pulpit zdalny, zdalny PowerShell czy udziały plików. Stamtąd celują w kontroler domeny, kopie zapasowe i magazyny danych. Każdy krok zostawia ślad w sieci: nowe połączenia między maszynami wewnętrznymi, które rzadko się komunikują, skanowanie, protokoły administracyjne ze zwykłego laptopa i dane płynące w nietypowe miejsca. Właśnie takich śladów szuka NDRNDR: network detection and response (wykrywanie zagrożeń w sieci i reagowanie). Monitoring bezpieczeństwa, który obserwuje ruch między urządzeniami i zgłasza alert, gdy któreś zachowuje się jak napastnik. (network detection and response) i dlatego jedno kliknięcie w phishing nie musi skończyć się pełnym włamaniem.

← Wszystkie pytania (29): Phishing i skutki ataków e-mailowychWszystkie tematy