T1074.002: Промежуточное хранение данных (удаленно)

Злоумышленники могут перемещать собранные из различных систем данные в определенное центральное хранилище или выбранный каталог в одной системе перед их эксфильтрацией. Данные могут храниться в отдельных файлах или объединяться в один файл с помощью таких техник, как Архивация собранных данных. При этом могут использоваться интерактивные командные оболочки — в частности, для копирования данных в нужное расположение может задействоваться стандартная функциональность cmd и bash.

В облачных средах злоумышленники могут готовить данные к эксфильтрации на отдельном экземпляре или виртуальной машине. Злоумышленник может создать облачный экземпляр и использовать его для промежуточного хранения данных.

Переместив все данные в одну систему перед эксфильтрацией, злоумышленники могут свести к минимуму количество подключений к командному серверу и снизить вероятность обнаружения.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

mitre_attck_cred_access: PT-CR-591: Remote_Copy_Credential_Dump_Artifact: Скопирован файл, возможно являющийся артефактом дампа учетных данных

Способы обнаружения

IDDS0022Источник и компонент данныхФайл: Создание файлаОписание

Периодически проверяйте каталоги с общим доступом на запись, центральные хранилища и часто используемые для временного хранения каталоги (например, корзину и папки с временными файлами) на наличие сжатых или зашифрованных файлов — они могут быть размещены там злоумышленниками.

IDDS0017Источник и компонент данныхКоманда: Выполнение командОписание

Отслеживайте выполнение команд с аргументами, которые могут использоваться для сбора и объединения файлов. Средства удаленного доступа со встроенными функциями могут напрямую взаимодействовать с API Windows для сбора данных и их копирования в другое расположение. Для сбора и промежуточного хранения данных также могут использоваться системные средства администрирования, такие как инструментарий управления Windows и PowerShell.

IDDS0022Источник и компонент данныхФайл: Доступ к файлуОписание

Отслеживайте процессы, которые читают файлы из разных мест и записывают их в один каталог или файл. Это может указывать на подготовку данных к промежуточному хранению, особенно если есть подозрения, что файлы шифруются или сжимаются с помощью 7zip, RAR, ZIP или zlib.