KampovanjeLiving off the Land

Opis

PowerShell služi za skripte, WMI i PsExec za udaljene komande, a certutil i rundll32 za preuzimanje, dekodiranje i pokretanje sadržaja. Isti alati svakodnevno služe administratorima.

Prisustvo može trajati nedeljama ili mesecima. Napadač radi sporije, koristi postojeće naloge i uklapa aktivnosti u redovne termine održavanja. Kamp se prepoznaje po obrascu kroz vreme, ne po jednom alatu.

Primeri

• PowerShell sa servisnog naloga preuzima skriptu tokom noćnog održavanja.
• WMI pokreće komande na više računara.
• Certutil dekodira sadržaj skriven u običnom fajlu.
• PsExec koristi postojeći administratorski nalog za prelazak na drugi server.

Napomene

• Potpis alata potvrđuje poreklo, ne legitimnost komande.
• Isti program može služiti administratoru danas, a napadaču sutra.