Microsoft Threat Intelligence сообщила, что в октябре группа Storm-3358 начала применять агентный фреймворк ARTEX против финансовых организаций. Большинство целей находилось в Юго-Восточной Азии, но в отчёте упомянуты и крупные организации за её пределами.
Иллюстрация к исследованию Microsoft Threat Intelligence.
Что искать в журналах
Группа сочетала автоматическое сканирование с эксплуатацией ошибок веб-приложений и установкой программ удалённого доступа. Microsoft опубликовала индикаторы компрометации и запросы для поиска следов. При проверке полезно сопоставить подозрительные запросы к публичным сервисам с исходящими соединениями и последующим использованием учётных записей.
Что проверить в журналах
Публичные сервисы. Необычные запросы и загрузки файлов.
Сетевой журнал. Неожиданные исходящие соединения.
Учётные записи. Изменения в привычной схеме входа.
Как расследовать цепочку событий
Отдельный необычный веб-запрос может оказаться шумом. Более сильный сигнал — когда сразу после него тот же сервер обращается к незнакомому внешнему адресу, запускает процесс, которого обычно нет, или начинает входить в другие системы. Сопоставляйте события по времени, устройству и учётной записи.
Указанные в отчёте адреса полезны для проверки прошлых журналов. Часть инфраструктуры меняется, поэтому поиск стоит строить и по поведению системы. В первоисточнике Microsoft приводит готовые запросы и поясняет, какие события они ищут.
