tgoop.com/soldatov_in_telegram/715
Last Update:
Картинка того, как выглядит в телеметрии MDR эмуляция обсуждаемой вчера эксплуатации
eventtype_str - название события
file_path, filecmdline - потомок
processfilepath, processcmdline - родитель
parentprocessfilepath, parentprocesscmdline - родитель родителя
Главный вектор атаки – выполнение вредоносного кода на этапе preinstall. Здесь стандартный мониторинг EPP/EDR (рабочих станций разработчиков и CI/CD-серверов) позволит обнаружить любой подозрительный по поведению процесс, инициированный из node_modules/.bin или напрямую из пакета NPM. В этом случае задача сводится к стандартной – контроль запусков подозрительных процессов с плохой или неопределенной репутацией.
На картинке запускали powershell.
Сухой остаток: supply chain звучит страшно, но стандартные инструменты мониторинга это прекрасно обнаруживают, ну а то, что мы всегда уязвимы, мы знали и ранее.
#MDR
BY Солдатов в Телеграм
Share with your friend now:
tgoop.com/soldatov_in_telegram/715