19/05/2025
ჰაკერები PowerShell-ს იყენებენ ანტივირუსული და EDR სისტემების გვერდის ავლისთვის.
კიბერუსაფრთხოების მკვლევარებმა გამოავლინეს მზარდი ტენდენცია, რომლის მიხედვითაც თავდამსხმელები იყენებენ Microsoft PowerShell-ს, Windows-ის ლეგიტიმურ ბრძანებათა სტრიქონის ინტერფეისს, რათა გვერდი აუარონ მოწინავე ანტივირუსულ და EDR დაცვას.
ეს ტექნიკა, რომელსაც ხშირად „ცხოვრება სისტემის შიგნით“ (Living off the Land, LotL) უწოდებენ, თავდამსხმელებს საშუალებას აძლევს გამოიყენონ სისტემაში ჩაშენებული ხელსაწყოები, რაც ამცირებს მათ დამოკიდებულებას გარე მავნე კოდებზე, რომლებიც ადვილად შეიძლება გამოვლინდნენ.
შედეგად, იზრდება ფარული თავდასხმების რაოდენობა, რომლებიც მიმართულია როგორც საწარმოების, ისე სამთავრობო ქსელების წინააღმდეგ.
თავდამსხმელები იყენებენ Windows-ის ჩაშენებულ ხელსაწყოებს
PowerShell-ის გამოყენება მავნე კამპანიებში ახალი არ არის, თუმცა ამ თავდასხმების სირთულე და სიხშირე მნიშვნელოვნად განვითარდა.
თავდამსხმელები იწყებენ კამპანიებს თავდაპირველი წვდომის მოპოვებით, ხშირად ფიშინგის ელფოსტის ან საჯარო აპლიკაციების დაუცველობების გამოყენებით.
სამიზნე გარემოში შეღწევის შემდეგ, ისინი უშვებენ დაშიფრულ PowerShell სკრიპტებს პირდაპირ მეხსიერებაში ან TASK Scheduler-ის მეშვეობით.
ფაილების გარეშე მიდგომა ეხმარება როგორც ტრადიციულ ხელმოწერაზე დაფუძნებულ ანტივირუსულ გადაწყვეტილებების, ასევე თანამედროვე, ქცევაზე ორიენტირებულ EDR ხელსაწყოებს გვერდის ავლაში, რადგან დისკზე არ იწერება სტატიკური მავნე ფაილები, რომლებმაც შეიძლება გამოიწვიონ სისტემური გაფრთხილება.
PowerShell-ის მოქნილობა თავდამსხმელს საშუალებას აძლევს, შეასრულოს კომპრომისის შემდგომი აქტივობების ფართო სპექტრი, მათ შორის პრივილეგიების ამაღლება, სერთიფიკატების მოპარვა, Latel Movement და მონაცემთა გაჟონვა.
თავდამსხმელები ხშირად ტვირთავენ ლეგიტიმურ სისტემურ ბიბლიოთეკებს, იყენებენ Windows Management Instrumentation (WMI)-ს და იყენებენ reflective DLL injection-ს მათი ქმედებების შემდგომი დაშიფვრისთვის.
ამ ტექნიკების ერთმანეთთან შეერთებით, თავდამსხმელებს შეუძლიათ შეინარჩუნონ მუდმივი წვდომა, თავიდან აიცილონ გამოვლენა და გააფართოონ თავიანთი გავლენა ჩვეულებრივი უსაფრთხოების გაფრთხილებების გამოწვევის გარეშე.
თავდამსხმელთა ტექნიკების მზარდი სირთულე
უსაფრთხოების ექსპერტები აღნიშნავენ, რომ თანამედროვე PowerShell-ზე დაფუძნებული თავდასხმები იყენებენ უაღრესად დინამიურ და დაშიფრულ ბრძანებათა სტრიქონებს, რაც ართულებს ციფრულ გამოძიებას (digital forensic).
მაგალითად, Base64 კოდირება რეგულარულად გამოიყენება ბრძანებების შინაარსის დასამალად, ხოლო დისტანციური მართვისა და კონტროლის (C2) კომუნიკაციები დაშიფრულია HTTPS-ის ან ლეგიტიმური ღრუბლოვანი სერვისების გამოყენებით.
ამ დაშიფრულმა სკრიპტებმა შეიძლება პირდაპირ მეხსიერებაში(RAM) ჩატვირთოს დამატებითი მავნე კოდები ან შექმნან ფარული არხები მონაცემთა გაჟონვისთვის, რაც გვერდს უვლის ქსელის უსაფრთხოების მოწყობილობებს, რომლებიც ორიენტირებულია უფრო აშკარა გაჟონვის მეთოდებზე.
ასეთი თავდასხმების გავლენა მნიშვნელოვანია. ორგანიზაციები ხშირად აღმოაჩენენ დარღვევებს მხოლოდ მას შემდეგ, რაც მნიშვნელოვან მონაცემებს დაკარგავენ ან ოპერაციული შეფერხება მოხდება.
უსაფრთხოების გუნდები რთულ გამოწვევას აწყდებიან, რადგან ბევრი საწარმოს ოპერაცია და IT მართვის ამოცანა ეყრდნობა PowerShell-ს, რაც მის ფართო შეზღუდვას არაპრაქტიკულს ხდის.
ამის ნაცვლად, კიბერუსაფრთხოების სპეციალისტებს მოუწოდებენ, დანერგონ მკაცრი აპლიკაციების white List, ჩართონ PowerShell-ის ლოგირება და გამოიყენონ საფრთხის დაზვერვა საეჭვო გამოყენების შაბლონების გამოსავლენად.
პროაქტიული ქსელის სეგმენტაცია, პრივილეგირებული წვდომის მართვა და მომხმარებელთა მუდმივი ცნობიერების ამაღლება ასევე აუცილებელი კომპონენტებია ძლიერი თავდაცვითი პოზიციისთვის.
წამყვანი კიბერუსაფრთხოების მომწოდებლებმა უპასუხეს ქცევითი ანალიტიკის გაძლიერებით, ფოკუსირებით PowerShell-ის ანომალიური შესრულების შაბლონების, უჩვეულო მშობელი-შვილი პროცესების ურთიერთობებისა და მომხმარებლის განსხვავებული ქცევების გამოვლენაზე.
ვინაიდან თავდამსხმელები აგრძელებენ ინოვაციებს, იყენებენ ლეგიტიმურ საბოლოო წერტილებს, ღრუბლოვან სერვისებსა და დროებით ინფრასტრუქტურას, ცხადია, რომ თავდამსხმელებსა და დამცველებს შორის ბრძოლა გაძლიერდება.
PowerShell-ზე დაფუძნებული თავდასხმების ბოლოდროინდელი ზრდა მკაცრი შეხსენებაა, რომ დახვეწილი თავდამსხმელები გააგრძელებენ სანდო ხელსაწყოებისა და სისტემის შესაძლებლობების გამოყენებას.
#კიბერუსაფრთხოება
