Закрепление в системе (persistence) — набор техник, с помощью которых атакующие сохраняют доступ к скомпрометированной системе после перезагрузок, выхода из сеанса, смены паролей и других событий, способных их отрезать.
Как работает закрепление
Вредонос или взломщик редко хочет проникать в систему дважды. После первоначальной компрометации он настраивает что-то, что будет автоматически снова запускать его код. В матрице MITRE ATT&CK закрепление (Persistence) выделено в отдельную тактику (TA0003) с десятками техник. Типичные примеры:
- Автозапуск — ключи Run в реестре Windows или папка «Автозагрузка» (T1547.001).
- Запланированные задачи и службы — Планировщик заданий Windows, новые или изменённые службы, задания cron и юниты systemd в Linux, LaunchAgents в macOS.
- Подписки на события WMI — код, который выполняется при наступлении системного события (T1546.003).
- Закрепление через учётные записи — создание новых аккаунтов, добавление SSH-ключей, регистрация дополнительных устройств MFA и OAuth-приложений в облаке.
- Серверные импланты — веб-шеллы на веб-серверах и модифицированная прошивка периметральных устройств.
- Закрепление на уровне загрузки — буткиты и UEFI-импланты, которые переживают даже переустановку операционной системы.
Почему закрепление важно
Закрепление превращает кратковременное вторжение в долгосрочный доступ и даёт атакующим время на разведку, кражу данных и развёртывание шифровальщика. Продвинутые группировки создают несколько независимых механизмов, чтобы удаление одного не выбило их из сети. Неполная зачистка — частая причина повторной компрометации вскоре после инцидента.
Как обнаружить и устранить закрепление
- Отслеживать создание служб, запланированных задач, ключей Run и подписок WMI с помощью EDR или Sysmon.
- Регулярно проверять точки автозапуска инструментами вроде Microsoft Autoruns.
- Проверять облачные аккаунты на новых пользователей, ключи, OAuth-разрешения и методы MFA.
- При реагировании на инцидент сначала выявить все механизмы, затем вытеснить атакующего, сменить учётные данные и при сомнениях пересобрать систему.
