🥷🏿 Неуловимый GoblinRAT: история самого скрытного и загадочного бэкдора для Linux, обнаруженного в государственных инфраструктурах

Весной 2023 года сотрудники ИТ-компании, предоставляющей услуги различным секторам российской экономики (в основном госам), зафиксировали дамп хешей пользователей с контроллера домена, который был выполнен при помощи secretsdump с Linux-хоста. После чего системные логи хоста были очищены. Согласитесь, не похоже на легитимное поведение 🤔

Это не новые, уникальные техники, DFIR-специалисты часто сталкиваются с подобной активностью, однако именно эта малварь заинтересовала команду Solar 4RAYS своей уникальностью. Под катом — исследование GoblinRAT, из которого вы узнаете:

☑️ Что представляет собой GoblinRAT и в чем его особенность.
☑️ Почему обнаружить подобный вид малвари было сложно, а в некоторых случаях – практически невозможно.
☑️ Как программа для администрирования atop иногда может стать хорошей альтернативой SIEM.
☑️ Что может скрывать Zabbix-агент и другие легитимные сервисы на ваших серверах.

#incidentresponse #dfir

🔥 Windows DFIR Artifacts MindMap

Коллекция артефактов, на которые следует обращать внимание при проведении мероприятий по цифровой криминалистике и реагированию на инциденты (Digital Forensics and Incident Response, DFIR) в Windows.

👉 Источник

#incidentresponse #dfir

🌳 Дерево процессов запуска Windows

Полезно знать при поиске угроз и проведении мероприятий по цифровой криминалистике и реагировании на инциденты.

👉 Источник

#dfir #windows

🤠 Погружение в безопасность Windows: Windows RPC

Полезно знать при поиске угроз и проведении мероприятий по цифровой криминалистике и реагировании на инциденты.

👉 Источник

#dfir #windows #security

🤠 Погружение в безопасность Windows: периодическая таблица событий

Полезно знать при поиске угроз и проведении мероприятий по цифровой криминалистике и реагировании на инциденты.

👉 Источник

#dfir #windows #security