Исследование, проведенное ИБ-стартапом LightCyber, показало, что хакеры почти всегда используют стандартные инструменты администрирования после того, как проникли в сеть при помощи вредоносного ПО или других техник взлома, пишет Threatpost.

Данные отчета получены в результате шестимесячного анализа сетевой активности, для мониторинга которой используется платформа распознавания атак LightCyber Magna Behavioural Attack Detection. Организации, которые участвовали в исследовании, имеют в инфраструктуре от 1 тыс. до 50 тыс. конечных точек и работают в таких сферах, как финансы, здравоохранение, транспорт, телекоммуникации, госуслуги и технологии.

В 99% действий, следующих после взлома, применяются не вредоносные программы, а обычные утилиты и инструменты, используемые ИТ-администраторами и не вызывающие подозрений.

Проникнув за периметр корпоративной сети, злоумышленник должен изучить ее устройство и определить уязвимые элементы, чтобы затем похитить данные или перехватить пароль для администрирования сети.

Одним из наиболее часто используемых взломщиками инструментов является Angry IP Scanner, предназначенный для сканирования IP-адресов и портов; среди 10 самых популярных легальных инструментов, используемых в атаках, на него приходится 27,1% инцидентов. Примерно так же часто хакеры задействуют Nmap — программу для обнаружения сетевых устройств и ИБ-аудита. SecureCRT, интегрированный SSH- и Telnet-клиент, стал самым популярным «легальным» хакерским инструментом, который использовался в 28,5% атак.

RDP-сервисы TeamViewer и WinVNC обычно используются хакерами для передвижения по сети после, например, успешной целевой фишинговой атаки. Также злоумышленники активно орудуют обычными пользовательскими программами — например, веб-браузерами и сервисами файлообмена. Таким образом, даже самые обычные инструменты, попав не в те руки, могут нанести большой вред.

Наиболее частой хакерской активностью, по данным аналитиков, является разведка, затем следуют передвижение по сети и коммуникация с С&C-;сервером. Излюбленные хакерами техники разделены на четыре основные категории: инструменты для взлома и работы в сети, инструменты администрирования, RDP-программы и вредоносное ПО.

Так как более 70% активных зловредов, используемых для проникновения, были распознаны только в одной инстанции, скорее всего, такие зловреды являются полиморфными или модифицируются специально для целевых атак.