Солдатов в Телеграм

Старый PlugX до сих пор используется. До 2016 я не занимался атрибуцией, поэтому, если даже и встречался с проявлениями его использования, мало интересовался тем, что это как раз и есть то самое, что зовут немного маркетинговой аббревиатурой "APT". А уже в 2016, когда начал работу в ЛК, не раз с ним встречался, понимая и что это такое и какова мотивация его операторов.

В новой заметке я пособирал некоторые техники и современные индикаторы ребят, использующих PlugX, а также дал ссылки исследования других вендоров, чьи описания совпадали с тем, что мы наблюдали в своей телеметрии.

В целом, с 2016 года за операторами PlugX наблюдалось большое разнообразие техник и инструментов, поэтому атрибутировать их удалось только по используемому кастомному трояну. Даже если у операторов и были\есть излюбленные техники и процедуры (как основа для атрибуции), то нет никакой гарантии, что команда операторов на протяжении 10 лет не меняется, а люди разные: кто-то любит Cobaltstrike (кстати, наряду с PlugX-ом использование Cobalt-а тоже наблюдалось), а кто-то предпочитает MSF, - могу предположить, что служба по контракту не длится вечно, поэтому люди точно будут меняться. Отчасти всеми этими мыслями объясняется мой небольшой скепсис к атрибуции, который просматривается в нашем обсуждении с Олегом.

Но какие краткие выводы по PlugX:
- надо детектить DLL side loading (как-нибудь обсудим)
- есть некие особенности (актуальные на сейчас): userinit с параметрами, именованные каналы, и более волатильные - C&C
- можно попробовать сделать детекты на discovery - едва ли бухгалтер будет дергать ipconfig /all или tasklist
- можно детектить переименованные бинари
- надо следить за детектами антивируса, в подобных атаках едва ли он будет совсем безмолствовать + стандартная гигиена: ставить патчи на периметре, обучать пользователей (чтобы не кликали на фишинг) и т.п.

#MDR

Дзен | Статьи

PlugX... в 2024

Статья автора «REPLY-TO-ALL Information Security Blog» в Дзене ✍: PlugX - очень старый инструментарий. Мы его наблюдали у заказчиков еще в 2016, вполне возможно, появился он еще раньше.

🔥3

www.tgoop.com/soldatov_in_telegram/461

1.28K viewsOct 14, 2024 at 12:24

Старый PlugX до сих пор используется. До 2016 я не занимался атрибуцией, поэтому, если даже и встречался с проявлениями его использования, мало интересовался тем, что это как раз и есть то самое, что зовут немного маркетинговой аббревиатурой "APT". А уже в 2016, когда начал работу в ЛК, не раз с ним встречался, понимая и что это такое и какова мотивация его операторов.

В новой заметке я пособирал некоторые техники и современные индикаторы ребят, использующих PlugX, а также дал ссылки исследования других вендоров, чьи описания совпадали с тем, что мы наблюдали в своей телеметрии.

В целом, с 2016 года за операторами PlugX наблюдалось большое разнообразие техник и инструментов, поэтому атрибутировать их удалось только по используемому кастомному трояну. Даже если у операторов и были\есть излюбленные техники и процедуры (как основа для атрибуции), то нет никакой гарантии, что команда операторов на протяжении 10 лет не меняется, а люди разные: кто-то любит Cobaltstrike (кстати, наряду с PlugX-ом использование Cobalt-а тоже наблюдалось), а кто-то предпочитает MSF, - могу предположить, что служба по контракту не длится вечно, поэтому люди точно будут меняться. Отчасти всеми этими мыслями объясняется мой небольшой скепсис к атрибуции, который просматривается в нашем обсуждении с Олегом.

Но какие краткие выводы по PlugX:
- надо детектить DLL side loading (как-нибудь обсудим)
- есть некие особенности (актуальные на сейчас): userinit с параметрами, именованные каналы, и более волатильные - C&C
- можно попробовать сделать детекты на discovery - едва ли бухгалтер будет дергать ipconfig /all или tasklist
- можно детектить переименованные бинари
- надо следить за детектами антивируса, в подобных атаках едва ли он будет совсем безмолствовать + стандартная гигиена: ставить патчи на периметре, обучать пользователей (чтобы не кликали на фишинг) и т.п.

#MDR

BY Солдатов в Телеграм