T1125: Захват видеоданных

Злоумышленники могут использовать периферийные устройства компьютера (например, встроенные или веб-камеры) и установленные приложения (например, приложения видеосвязи) для захвата видеоданных с целью сбора информации. Вместо видеофайлов с помощью устройств или приложений могут делаться фотоснимки, в том числе через определенные промежутки времени.

Для взаимодействия с устройствами через API, предоставляемый операционной системой или приложением для захвата видеоданных или съемки фотографий, могут использоваться вредоносные программы или сценарии. Видеофайлы или фотографии могут записываться на диск для последующей эксфильтрации. Эта техника отличается от захвата экрана тем, что для записи видео используются специальные устройства или приложения, а не осуществляется захват содержимого экрана.

Для macOS существует несколько различных образцов вредоносных программ, записывающих изображение с веб-камеры пользователя, — например, FruitFly и Proton .

Способы обнаружения

IDDS0009Источник и компонент данныхПроцесс: Вызовы API ОСОписание

Эту технику сложно обнаружить, поскольку она может быть реализована через различные API. Данные телеметрии об использовании API могут оказаться бесполезны в зависимости от того, как обычно используется система, но могут указать на другую потенциально вредоносную активность в системе. На использование этой техники может указывать наличие неизвестного или необычного процесса, который обращается к функциям API, связанным с устройствами или программами для взаимодействия с видеокамерой, записывающими устройствами или записывающим ПО, а также наличие процесса, периодически записывающего на диск файлы с видеоданными или изображениями с камеры.

IDDS0017Источник и компонент данныхКоманда: Выполнение командОписание

Отслеживайте выполнение команд с аргументами, которые могут использоваться для получения видеозаписей и сбора информации через периферийные устройства компьютера (например, встроенные или веб-камеры), а также установленные приложения, используемые для видеозвонков.