T1074.002: Промежуточное хранение данных (удаленно)
Злоумышленники могут перемещать собранные из различных систем данные в определенное центральное хранилище или выбранный каталог в одной системе перед их эксфильтрацией. Данные могут храниться в отдельных файлах или объединяться в один файл с помощью таких техник, как Архивация собранных данных. При этом могут использоваться интерактивные командные оболочки — в частности, для копирования данных в нужное расположение может задействоваться стандартная функциональность cmd и bash.
В облачных средах злоумышленники могут готовить данные к эксфильтрации на отдельном экземпляре или виртуальной машине. Злоумышленник может создать облачный экземпляр и использовать его для промежуточного хранения данных.
Переместив все данные в одну систему перед эксфильтрацией, злоумышленники могут свести к минимуму количество подключений к командному серверу и снизить вероятность обнаружения.
Какие продукты Positive Technologies покрывают технику
Экспертиза MaxPatrol SIEM
mitre_attck_cred_access: PT-CR-591: Remote_Copy_Credential_Dump_Artifact: Скопирован файл, возможно являющийся артефактом дампа учетных данных
Способы обнаружения
ID | DS0022 | Источник и компонент данных | Файл: Создание файла | Описание | Периодически проверяйте каталоги с общим доступом на запись, центральные хранилища и часто используемые для временного хранения каталоги (например, корзину и папки с временными файлами) на наличие сжатых или зашифрованных файлов — они могут быть размещены там злоумышленниками. |
---|
ID | DS0017 | Источник и компонент данных | Команда: Выполнение команд | Описание | Отслеживайте выполнение команд с аргументами, которые могут использоваться для сбора и объединения файлов. Средства удаленного доступа со встроенными функциями могут напрямую взаимодействовать с API Windows для сбора данных и их копирования в другое расположение. Для сбора и промежуточного хранения данных также могут использоваться системные средства администрирования, такие как инструментарий управления Windows и PowerShell. |
---|
ID | DS0022 | Источник и компонент данных | Файл: Доступ к файлу | Описание | Отслеживайте процессы, которые читают файлы из разных мест и записывают их в один каталог или файл. Это может указывать на подготовку данных к промежуточному хранению, особенно если есть подозрения, что файлы шифруются или сжимаются с помощью 7zip, RAR, ZIP или zlib. |
---|