T1071.002: Протоколы передачи файлов
Злоумышленники могут осуществлять взаимодействие по протоколам прикладного уровня, используемым для передачи файлов, с целью маскировки вредоносного трафика под обычный и предотвращения обнаружения или сетевой фильтрации. Команды, направленные к удаленной системе, а также часто и результаты выполнения этих команд встраиваются в трафик между клиентом и сервером.
Такие протоколы, как SMB, FTP, FTPS и TFTP, используются для передачи файлов повсеместно. Пакеты, создаваемые этими протоколами, могут содержать множество полей и заголовков, в которых могут быть скрыты данные. Данные также могут быть скрыты внутри передаваемых файлов. Злоумышленники могут использовать эти протоколы для взаимодействия с подконтрольными системами в целевой сети, имитируя типичный для этой сети трафик.
Какие продукты Positive Technologies покрывают технику
Экспертиза MaxPatrol SIEM
vulnerabilities: PT-CR-2948: Subrule_CVE_2025_24071_NTLM_Hash_Leak: Процесс архиватора или Проводник Windows создал файл с расширением .library-ms vulnerabilities: PT-CR-2949: CVE_2025_24071_NTLM_Hash_Leak: Возможная эксплуатация уязвимости CVE-2025-24071 в Проводнике Windows. Из архива извлечен файл с расширением .library-ms, что может привести к передаче хеша пароля пользователя на сервер злоумышленника mitre_attck_command_and_control: PT-CR-2780: Subrule_DoublePulsar_Process_Access: Процесс получил доступ к своему дочернему процессу после его запуска mitre_attck_command_and_control: PT-CR-2781: DoublePulsar_Activity: Анонимный доступ к именованному каналу IPC$ и загрузка библиотек, характерных для бэкдора DoublePulsar. К бэкдору посылаются специальные запросы ("knock" requests) в виде доступа к ресурсу IPC$ mitre_attck_command_and_control: PT-CR-2782: Subrule_DoublePulsar_IPC_Access: Удаленное подключение к именованному каналу IPC$ от имени анонимной учетной записи и соединение с компьютером атакующего. Это может быть признаком работы бэкдора DoublePulsar mitre_attck_command_and_control: PT-CR-2947: Subrule_External_SMB_Connect: Процесс подключился к внешнему узлу по протоколу SMB it_bastion: PT-CR-2180: SKDPUNT_Unusual_Amount_Of_File_Transfered: СКДПУ НТ обнаружила большое количество передаваемых файлов в сеансе пользователя
Способы обнаружения
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Содержимое сетевого трафика | Описание | Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, используя проверку SSL/TLS для зашифрованного трафика, чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам). |
---|
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Поток сетевого трафика | Описание | Отслеживайте и анализируйте потоки трафика, чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, или необычные шаблоны трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам). |
---|
Меры противодействия
ID | M1031 | Название | Предотвращение сетевых вторжений | Описание | Системы обнаружения и предотвращения сетевых вторжений, использующие сетевые сигнатуры для выявления трафика, специфичного для вредоносных программ конкретной группы злоумышленников, могут быть использованы для защиты от связанной с этим трафиком активности на сетевом уровне. |
---|