Блог

Отчет по анализу Lockbit: EXE-файл обнаружен F-Secure (интернет-червь) и ML (trojan, adware, miner). Динамика: самораспространение по сети через SMB и PowerShell, удаление теневых копий, шифрование файлов, смена обоев. Техники MITRE: Unsecured Credentials, Data Destruction, Disk Wipe, Query Registry.

Отчет по анализу Locky: EXE-файл обнаружен F-Secure и ML-моделями (trojan, downloader, adware). Динамика: шифрование файлов, изменение реестра, маскировка процессов, создание файла с требованиями, смена обоев рабочего стола. Техники MITRE: Modify Registry, Masquerading, Signed Binary Proxy Execution, Lateral Tool Transfer.

Отчет по анализу FormBook: EXE-файл обнаружен ML (Trojan, Adware, Miner). Динамика: добавление пути в исключения Windows Defender, запуск PowerShell, изменение настроек Internet Explorer. Техники MITRE: Impair Defense, Command and Scripting Interpreter, Query Registry. В дампе процесса обнаружены правила DebuggerHiding__Active, DebuggerCheck__GlobalFlags.

Отчет по анализу CryWiper: EXE-файл обнаружен Windows Defender, F-Secure и ML (Virus, Miner). Динамика: удаление теневых копий через vssadmin, изменение реестра, уничтожение файлов без возможности восстановления (генератор Мерсенна), создание файла с требованиями, смена обоев. Техники MITRE: Inhibit System Recovery, WMI, Command and Scripting Interpreter.

Отчет по анализу BlackMatter: EXE-файл обнаружен F-Secure и ML (trojan, dropper, miner). Динамика: шифрование файлов, повышение привилегий, обфускация строк через API, смена обоев, создание файла с требованиями. Техники MITRE: Data Destruction, Disk Wipe, Defacement, Modify Registry.

Отчет по анализу Remcos RAT: EXE-файл обнаружен ML (троян, дроппер, рекламное ПО). Динамика: добавление пути в исключения Windows Defender, запуск PowerShell, планирование задач через schtasks.exe. Техники MITRE: Scheduled Task/Job, Impair Defenses, Command and Scripting Interpreter.

Отчет по анализу LimeRAT: RTF-файл эксплуатирует CVE-2017-11882 через Equation Editor. Динамика: запись в память системного процесса, обход AppLocker через regsvr32, создание lsass.exe в %Temp%, подмена криптокошельков в буфере обмена, установка критического статуса процесса (BSOD). Техники MITRE: Signed Binary Proxy Execution, Query Registry, System Discovery.

Машинное обучение и ИИ в информационной безопасности: ML и ИИ расширяют возможности обнаружения аномалий, спама, фишинга и вредоносного ПО (AVSOFT KAIROS, ATHENA). Однако есть ограничения: потребность в больших данных, уязвимость к состязательным атакам, недостаток объяснимости («черные ящики»). Решение — XAI (объяснимый ИИ), ансамбли моделей, защита от отравления данных.

Анализ семейства троянов Agent Tesla: шпионское ПО для кражи данных из браузеров, почтовых клиентов, FTP, буфера обмена. Распространяется через спам с социнженерией. Динамика: добавление в исключения Windows Defender, кража учетных данных WinSCP, FileZilla, Outlook, Thunderbird, создание задачи в планировщике. В ходе реверс-инжиниринга извлечены модули Aads.dll, Tyrone.dll, C2-запросы на api.ipify.org.