T1585.001: Учетные записи соцсетей

Злоумышленники могут создавать и поддерживать учетные записи в социальных сетях, чтобы использовать их для атак. Злоумышленники могут создавать учетные записи фиктивных личностей в социальных сетях для использования в дальнейших операциях. Проработка фиктивной личности включает добавление общедоступной информации, имитацию активности в социальных сетях, создание истории и установление связей.

Использование фиктивных личностей в социальных сетях может быть важной составляющей операций с использованием социальной инженерии. Фиктивная личность может быть вымышленной или имитировать реально существующего человека. Созданная онлайн-личность может существовать на сайте одной или нескольких социальных сетей (например, Facebook, LinkedIn, Twitter и других). Создание фиктивной личности в социальных сетях может потребовать дополнительных усилий по добавлению документальных подтверждений ее существования и активности, включая заполнение профиля, развитие социальных связей и размещение фотографий.

После создания фиктивной личности злоумышленник может использовать ее для установления контактов с интересующими его жертвами. Эти связи могут быть прямыми или осуществляться через других лиц. Учетные записи фиктивных личностей могут задействоваться на различных этапах вредоносной активности, в том числе при организации первоначального доступа (см., например, технику Целевой фишинг через сторонние сервисы).

Способы обнаружения

IDDS0029Источник и компонент данныхСетевой трафик: Содержимое сетевого трафикаОписание

Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

IDDS0021Источник и компонент данныхФиктивная личность: Социальные сетиОписание

По возможности отслеживайте активность, связанную с вашей организацией, в социальных сетях. Такая активность может заключаться в появлении личностей, утверждающих, что они работают в вашей организации, или в отправке новыми или недавно измененными учетными записями множества запросов на добавление в друзья учетным записям, связанным с вашей организацией. Имеет смысл сосредоточить усилия по выявлению вредоносных действий на соответствующих этапах деятельности злоумышленников — например, на этапе первоначального доступа это может быть применение техники Целевой фишинг через сторонние сервисы.

Меры противодействия

IDM1056НазваниеПредкомпрометацияОписание

От этой техники нельзя легко защититься с помощью превентивных мер контроля, поскольку она основана на поведении, осуществляемом вне рамок корпоративных средств защиты и контроля.