T1027.003: Стеганография
Злоумышленники могут использовать стеганографические техники, чтобы предотвратить обнаружение скрытой информации. Стеганографические техники могут использоваться для скрытия данных в цифровых медиафайлах, например изображениях, аудиофайлах, видеороликах или текстовых файлах.
Одним из ранних примеров вредоносных программ, использующих стеганографию, является Duqu. Эта программа шифровала информацию, собранную в системе жертвы, и прятала ее внутри файла изображения, а затем передавала этот файл на командный сервер.
В конце 2017 года одна из группировок злоумышленников использовалаInvoke-PSImage
для скрытия команд PowerShell в файле изображения (.png) и выполнения кода в системе жертвы. В данном случае код для PowerShell загружал еще один обфусцированный сценарий для сбора информации с компьютера жертвы и передачи ее злоумышленникам.
Какие продукты Positive Technologies покрывают технику
Экспертиза MaxPatrol SIEM
mitre_attck_defense_evasion: PT-CR-2060: Powershell_Execution_From_Image: Применение утилиты Invoke-PSImage для запуска скрипта PowerShell, внедренного в изображение
Способы обнаружения
ID | DS0022 | Источник и компонент данных | Файл: Метаданные файла | Описание | Выявить стеганографию может оказаться непросто, если в ходе процесса обфускации в системе не осталось артефактов, которые можно детектировать по известной сигнатуре. Ищите строки и другие сигнатуры в системных артефактах, которые могут быть связаны с декодированием стеганографии. |
---|