T1090.002: Внешний прокси-сервер
Злоумышленники могут использовать внешний прокси-сервер для обеспечения сетевого взаимодействия с командным сервером, чтобы исключить прямые подключения к своей инфраструктуре. Существует множество инструментов для перенаправления трафика через прокси-серверы или переадресацию портов, например HTran, ZXProxy и ZXPortMap . Злоумышленники используют такие прокси-серверы для управления взаимодействием с командным сервером, поддержания своей активности даже в случае потери соединения или использования существующих доверенных путей взаимодействия, чтобы не вызывать подозрений.
Внешние прокси-серверы используются для скрытия истинного адреса назначения трафика управления и чаще всего реализуются с помощью перенаправителей портов. Для этого могут использоваться скомпрометированные системы, находящиеся за пределами целевой среды, а также приобретенная инфраструктура, например облачные ресурсы или виртуальные выделенные серверы (VPS). Злоумышленники могут стараться выбирать наименее подозрительные прокси-серверы — такие, подключение к которым скомпрометированных систем вряд ли будет расследоваться. Целевые системы через интернет взаимодействуют с внешним прокси-сервером, который перенаправляет полученный трафик на командный сервер.
Какие продукты Positive Technologies покрывают технику
Экспертиза MaxPatrol SIEM
mitre_attck_command_and_control: PT-CR-467: Suspicious_Connection: Обнаружено сетевое обращение исполняемых файлов
mitre_attck_command_and_control: PT-CR-610: Proxy_Tools_Usage: Запущена утилита для проксирования трафика
mitre_attck_command_and_control: PT-CR-969: Ligolo_Reverse_Tunneling: Создание обратного туннеля с помощью утилиты Ligolo(-ng)
remote_work: PT-CR-428: Possible_network_connect_through_local_tunnel: Попытки подключиться к удаленному узлу через локальный туннель
Способы обнаружения
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Создание сетевого подключения | Описание | Monitor for newly constructed network connections that are sent or received by untrusted hosts. |
---|
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Содержимое сетевого трафика | Описание | Monitor and analyze traffic patterns and packet inspection associated to protocol(s) that do not follow the expected protocol standards and traffic flows (e.g extraneous packets that do not belong to established flows, gratuitous or anomalous traffic patterns, anomalous syntax, or structure). Consider correlation with process monitoring and command line to detect anomalous processes execution and command line arguments associated to traffic patterns (e.g. monitor anomalies in use of files that do not normally initiate connections for respective protocol(s)). |
---|
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Поток сетевого трафика | Описание | Monitor network data for uncommon data flows. Processes utilizing the network that do not normally have network communication or have never been seen before are suspicious. |
---|
Меры противодействия
ID | M1031 | Название | Предотвращение сетевых вторжений | Описание | Network intrusion detection and prevention systems that use network signatures to identify traffic for specific adversary malware can be used to mitigate activity at the network level. Signatures are often for unique indicators within protocols and may be based on the specific C2 protocol used by a particular adversary or tool, and will likely be different across various malware families and versions. Adversaries will likely change tool C2 signatures over time or construct protocols in such a way as to avoid detection by common defensive tools. |
---|