Всем привет! 👋
Этот канал посвящён DFIR — разбору артефактов, следам атак и всем тем мелочам, которые помогают восстановить картину инцидента. Здесь будем делиться инструментами, методиками, кейсами и полезными находками для практики.

Фокус — на форзе: логи, таймлайны, память, файловые системы. Без лишнего шума, только то, что реально пригодится в расследованиях. 🔍

Оставайтесь на связи — впереди много интересного. 🫥

🐦‍⬛ DFIR Father

Hayabusa — форензика на скорости ниндзя 🥷

Если вам когда-нибудь приходилось ковыряться в Windows Event Logs вручную, вы знаете этот "кайф" — бесконечные строки, фильтры, скука и головная боль. 🔫
А вот Hayabusa берёт и делает это красиво:

😠 быстро парсит огромные объёмы журналов,

🎩 подсвечивает подозрительные события (в духе “вот тут пытались залезть не туда”),

💼 даёт понятные отчёты, которые реально можно показать коллегам или положить в тикет без красных глаз.

Фактически, это такой "Threat Hunting starter pack" для форензика: закинул логи — получил картину атаки по MITRE ATT&CK.

Короче, если вы ещё не пробовали, самое время.
⚡️ Hayabusa = меньше боли, больше расследований.

🔗 https://github.com/Yamato-Security/hayabusa

🐦‍⬛ DFIR Father

Исходя из недавнего отчета The DFIR Report про вторжение, которое связало нитки сразу с тремя группами, началось все максимально буднично. 😱

📍 Точка 1 — вход и первые следы. Жертва запускает «EarthTime.exe», а под капотом - SectopRAT. Цепочка процессов простая и потому приметная: explorer.exe -> EarthTime.exe -> cmd.exe (без аргументов) -> msbuild.exe. Дальше msbuild тянет конфиг с Pastebin и стучится на С2 SectopRAT. Дополнительно интересно, что вредный бинарь был подписан отозванным сертификатом Brave Pragmatic Network Technology Co., Ltd. — чистая попытка выглядеть прилично. ✋
🔍 Зацепки на практике: 4688 по msbuild.exe без аргументов, сетевые алерты Suricata на 9000/15647, проверка подписи и цепочки сертификатов.

📍 Точка 2 — закрепление и «прокладка» трафика. Актор переносит пейлоад BITS’ом в %AppData%\Roaming\QuickAgent2\ChromeAlt_dbg.exe и кидает LNK в Startup. Параллельно создает локального админа Admon с паролем Qwerty12345!. На сцене появляется SystemBC - стейджится в C:\Users\Public\Music\WakeWordEngine.dll и запускается через rundll32.exe WakeWordEngine.dll,Reset (на DC файл переименован в conhost.dll). Телеметрия SystemBC светится на прокси-С2. 👀
🔍 Зацепки: события BITS + появление ярлыка в автозапуске, 4720/4732 по локальному админу, Sigma на запись в Public, rundll32 ... Reset как устойчивый паттерн, сетевые соединения с прокси-туннелем (С2).

📍 Точка 3 — ранний доменный интерес и латералка. Основной транспорт — RDP, очень рано фиксируется DCSync, дальше PsExec с -s поднимает SystemBC уже от SYSTEM на DC. На разведке - утилитарные ipconfig и nltest.
🔍 Зацепки: корреляция 4624 type 3 -> type 10 по RDP, 4662 с GUID DS-Replication-Get-Changes для DCSync, родитель PsExec и запуск DLL через него, разбор команд на DC.

📍 Точка 4 — масштабная разведка и почерк. В ход идут Grixba/GT_NET.exe (часто виден у Play), AdFind, SharpHound, SoftPerfect NetScan, плюс PowerShell-скрипт на бэкап-сервере для вытягивания учеток из базы Veeam. Из интересного — экспорты в C:\Users\Public\Music\AllWindows.csv, а у Grixba подделаны метаданные под SentinelOne. 😰
🔍 Зацепки: 4104 Script Block Logging на Veeam SQL-граб, поиск каталогов выгрузок, сравнение временных меток (включая timestomping ExportData.db), идентификация характерных команд AdFind (-subnets) и AD Cmdlets.

📍 Точка 5 — сбор и эксфил. На файловом сервере кидают WinRAR.exe, собирают целевые шары в .rar/.part, далее WinSCP уводит архивы по FTP на внешний FTP сервер в открытом виде - в pcap видно логины и хореографию PWD/CWD, переключения ASCII/BINARY. 🙂
🔍 Зацепки: всплеск крупных архивов + исходящий 21/tcp, следы WinSCP конфигов, разбор pcap для командной сессии и учетных.

📍 Точка 6 — вторая ступень управления. На шестые сутки msbuild пишет в Public\Music ccs.exe, который стартует как дочерний и оказывается Betruger - многофункциональный бэкдор, часто замеченный у RansomHub. Он тут же делает массовые инъекции в процессы (в логах Sysmon Process Access фигурирует 0x1410 при доступе к LSASS). Параллельно всплывает wmiexec из Impacket и новое операторское имя хоста. 💰
🔍 Зацепки: 4688 цепочка msbuild -> ccs.exe, PE-метаданные под Avast, Process Access по LSASS, характерная линия WmiPrvSE -> cmd и вывод в админ-шары.

📍 Точка 7 — укрытие следов. Набор привычный: процессные инъекции, timestomping (вплоть до будущих дат), правки Defender через HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\..., подмена метаданных под продукты безопасности.
🔍 Зацепки: дифф реестра политик, сравнение времени выполнения с MFT/USN и журналами, поиск «слишком правильных» строк в PE.

Почему это «стирание границ»? Grixba тянет к Play, Betruger - к RansomHub, а в остатках NetScan всплывают артефакты другой компании, которая была у DragonForce. Картина складывается в модель аффилиата, который спокойно жонглирует наборами нескольких RaaS под задачу — бренд вторичен, важен результат. 👨‍💻

🔗 Статья-репорт: https://thedfirreport.com/2025/09/08/blurring-the-lines-intrusion-shows-connection-with-three-major-ransomware-gangs/

🐦‍⬛ DFIR Father

💎 Diamond-модель — последний рывок к завершенному отчету.

Когда логи уже тоннами, мозги кипят, а надо выдать понятный финал для всех ролей - кидаем все в Diamond и закрываем гештальт. 📈

Зачем вообще это нужно ❓
Diamond-модель стягивает DFIR-бардак в один кадр: Adversary - Infrastructure - Capabilities/TTPs - Victim. Видно кто - чем - через что - против кого. TL;DR для руководства, ориентир для аналитиков, конкретика для владельцев систем.

Как это помогает в деле❓
Быстрый нарратив: из разрозненных артефактов рождается история атаки.
Сравнимость кейсов: два даймонда рядом и сразу понятно, где совпали инструменты, инфра и повадки.

👍 Решения по углам:
• Infrastructure - блоки, фильтры, письма провайдерам.
• Capabilities/TTPs - зачистка тулзов, детекты, пайплайн реагирования.
• Victim - изоляция, хардненинг, восстановление.
• Adversary - маркеры актора, повторяемые паттерны, гипотезы по аффилиатам.

Как заполнять не страдая❓
• Victim - роли и конкретные машины, где нашлись следы.
• Infrastructure - IP, домены, сервисы и их функция.
• Capabilities/TTPs - инструменты и приемы с привязкой ко времени и логам.
• Adversary - УЗ, хостнеймы, окна активности, почерк.
• Связи - стрелками кто что использовал и против чего, плюс уровень уверенности.

Что приложить рядом❓
• Короткие абзацы по каждому углу + действия на 24/72 часа.
• IOC-лист с пометками категорий.
• Мини-таблица детектов под Capabilities и Infrastructure (KQL/Sigma).
• Таймлайн по ребрам Diamond для контекста.

🤔 Намек на зрелость
Регулярный Diamond в каждом отчете — это не мода, а признак зрелого DFIR: единый язык между SOC/IR/бизнесом, повторяемый шаблон, метрики покрытий и быстрая перекрестная проверка инцидентов.

Короче, меньше боли, больше пользы. 🙂

З.Ы. На скрине пример Diamond-модели по атаке, которую разбирали ранее сегодня.

🐦‍⬛ DFIR Father

Поддержим товарищей! 🕺

👀 User Access Logging: быстрый источник латералки в Windows Server

UAL — системный сборщик статистики обращений к серверу по ролям. По-простому: кто, с какого IP и к какому серверу прикладывался в конкретный день. Работает на Windows Server 2012+ и по умолчанию включен на поддерживаемых системах. Полезно для реконструкции латералки и подтверждения "кто куда ходил". 🏃‍♂️

Где лежит и что даёт ⁉️
• Пути:

C:\Windows\System32\LogFiles\SUM\Current.mdb
C:\Windows\System32\LogFiles\SUM\SystemIdentity.mdb
C:\Windows\System32\LogFiles\SUM\<GUID>.mdb

• Формат: ESE-базы
• Retention: обычно 2–3 года. Current.mdb хранит последние 24 часа, затем данные перекладываются в годовой <GUID>.mdb.

Как аккуратно забрать на живой системе⁉️
Файлы залочены ОС, поэтому берем низкоуровневую копию:

RawCopy.exe /FileNamePath:C:\Windows\System32\LogFiles\SUM\Current.mdb ^
/OutPath:C:\DFIR\SUM\

Дальше парсим. Самые удобные тулзы: Eric Zimmerman SumECmd и Brian Moran KStrike. Пример на SumECmd:

SumECmd.exe -d C:\DFIR\SUM\ --csv C:\DFIR\OUT\

На выходе будут CSV, где по дням видно User → ClientIP → FirstSeen/LastSeen → Role — идеальная основа для таймлайна латералки. 📈

Быстрый опрос без выгрузки 🆒
На live-хосте UAL читается через WMI/PowerShell:

# WMI
gwmi -Namespace "root\AccessLogging" -Query `
"SELECT * FROM MsftUal_DeviceAccess WHERE LastSeen >= '2025-01-01'"

# Cmdlets
Get-UalUserAccess
Get-UalDailyUserAccess

Зачем DFIR-щику ⁉️
• Подтверждаем факты ходок: кто и когда дергал конкретный сервер.
• Строим узлы латералки там, где события RDP/SMB могли "сгореть".
• Сопоставляем роль сервера и характер обращений, чтобы поднять приоритет и зону зачистки.
• Держим историю за 2–3 года — удобно для ретро-поиска повторов и атрибуции.

Нет SIEM? 😆
Не парься, UAL довезет таймлайн 🇵🇰

🐦‍⬛ DFIR Father

А теперь пришел и мой черед позвать всех вас на KazHackStan 😜

Вместе с Шерханом на примере расследования реального инцидента мы расскажем, как из «мелочей» вырос фулл-домен рейд.
Факапы админов, лестница из дырок, артефакты на каждом шаге — все покажем, все разжуем. 👍

🔗 https://t.me/kazhackstan2023/476
🔗 https://kazhackstan.com/

🐦‍⬛ DFIR Father

Ну, получается, выступил! 😮‍💨

Всем спасибо, кто пришел послушать из подписчиков, и тем, кто подписался после доклада. 😽

Эксклюзивно для вас я подготовлю мини-райтап того, что я рассказал на конференции.

Ждите 🔥

Продолжаем! Сегодня поведаю о похожем, но не менее интересном приеме злоумышленников.🤓

Fck-upology of the Infrastructure: Mistakes That Build an Attack (Part 2) 💀
***Все написанное - плод больного воображения автора!

Важный тейк на сегодня: удобство для админа часто превращается в запасной ключ для злоумышленника. Кикнули актора из AD — он все равно вернется по RDP, если у вас открыт черный ход на локалках!

⚠️ Fuckup: Local Backdoor as “Plan B”
Акторы держат запасной путь через скрытую локальную учетку и пару тихих политик. Доменные креды сгорели? Не страшно — локальная дверь осталась открыта.

🔍 Какие артефакты я видел на диске:
C:\ProgramData\Microsoft\QuickHeal\123.bat — неприметный батник, который все делает за них.

Что он делает под капотом? 😁
- Добавляет скрытого Administrator$ в группу пользователей RDP:

net localgroup "Пользователи удаленного рабочего стола" Administrator$ /add

- Прячет учетку от UI через реестр (hidden=0):

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList

- Выдает полный админ-токен в ремоут-сессиях:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolicy=1

- Делает учетку бессрочной:

net user Administrator$ /expires:never

- И финт ушами — самоудаление: 🤔

del %0

Почему это больно? 🥺
Потому что учетки локальных админов разрешены и почти не мониторятся. Что уж говорить о незаметных правках политик по типу RDP или фильтрации токенов, которые тонут среди всей рутины. Ну и для актора ничего не поменялось, потому что когда доменную дверь закрыли —> локальная осталась открыта.

👀 DFIR-наброски для себя
Смотрим членство в локальных группах, свежие задачи в планировщике, ключи UserList и LocalAccountTokenFilterPolicy, таймлайн создания Administrator$ и запусков cmd/pwsh рядом. Если почистили домен, но кто-то продолжает логиниться по RDP — ищите такой «план Б».

До завтра!

🐦‍⬛ DFIR Father