تجربه شخصی
سوءاستفاده از Velociraptor برای دسترسی از راه دور

این یکی از آن پرونده‌هایی بود که از همان لحظه اول به من حس خوبی نمی‌داد. هشدار اولیه، یک Storyline عجیب بود که از تونلینگ در Visual Studio Code خبر می‌داد. VSCode؟ آن هم روی یک سرور حیاتی؟ عجیب بود.
لحظه‌ای که به سیستم وارد شدم، دیدم ماجرا از یک msiexec ساده شروع شده؛ نصب‌کننده‌ای از دامنه‌ی ..... که «اتفاقاً» Velociraptor را نصب کرده بود. ابزار قانونی و محبوب تیم‌های DFIR، اما این‌بار برای من حکم یک پیک نفوذچی را داشت.
پیکربندی طوری انجام شده بود که Velociraptor مستقیماً به یک C2 مرتبط شود. بعد با یک PowerShell رمزگذاری‌شده، VSCode دانلود و با گزینه‌ی tunnel اجرا شده بود. این تونل عملاً یک خط مستقیم از سیستم به دست مهاجم باز می‌کرد. حتی code.exe را به عنوان یک سرویس نصب کرده بودند تا ماندگار شود.
اثری از بدافزار سنتی نبود. فقط ابزارهای قانونی، ولی در دستان اشتباه. این همان نقطه‌ای است که تجربه به من می‌گوید: «کمترین اثر مخرب = بیشترین نیاز به هوشیاری».
ما سریع سیستم را ایزوله کردیم. بررسى‌ها نشان داد اگر چند ساعت دیرتر عمل می‌کردیم، این تونل به مسیر مستقیم برای باج‌افزار ختم می‌شد.
این حادثه برایم یادآور شد که تهدید امروز لزوماً یک فایل exe ناشناس نیست. گاهی همان ابزاری که دیروز با آن جرم‌یابی می‌کردی، فردا می‌تواند جرم‌ساز باشد



#آکادمی_روزبه