Закріплення в системі (persistence) — набір технік, за допомогою яких зловмисники зберігають доступ до скомпрометованої системи після перезавантажень, виходу із сеансу, зміни паролів та інших подій, здатних їх відрізати.
Як працює закріплення
Шкідливе ПЗ чи зловмисник рідко хоче зламувати систему двічі. Після початкової компрометації вони налаштовують щось, що автоматично знову запустить їхній код. У фреймворку MITRE ATT&CK закріплення — окрема тактика (TA0003) з десятками технік. Поширені приклади:
- Записи автозапуску — ключі Run у реєстрі Windows або папка «Автозавантаження» (T1547.001).
- Заплановані завдання та служби — Планувальник завдань Windows, нові чи змінені служби, завдання cron і юніти systemd у Linux, LaunchAgents у macOS.
- Підписки на події WMI — код, що виконується, коли настає системна подія (T1546.003).
- Закріплення через облікові записи — створення нових облікових записів, додавання SSH-ключів або реєстрація додаткових MFA-пристроїв і OAuth-застосунків у хмарних середовищах.
- Серверні імпланти — веб-шелли на вебсерверах і модифікована прошивка периметрових пристроїв.
- Закріплення на рівні завантаження — буткіти та UEFI-імпланти, що переживають навіть перевстановлення операційної системи.
Чому закріплення важливе
Закріплення перетворює короткочасне вторгнення на довготривалий доступ і дає нападникам час на розвідку, викрадення даних і розгортання програми-вимагача. Просунуті угруповання налаштовують кілька незалежних механізмів, щоб видалення одного їх не вигнало. Неповне очищення — часта причина того, що жертв знову зламують невдовзі після інциденту.
Як виявити й усунути закріплення
- Відстежувати створення служб, запланованих завдань, ключів Run і підписок WMI за допомогою EDR або Sysmon.
- Регулярно перевіряти місця автозапуску інструментами на кшталт Microsoft Autoruns.
- Перевіряти хмарні облікові записи на нових користувачів, ключі, дозволи OAuth і методи MFA.
- Під час реагування на інцидент спершу виявити всі механізми, а вже потім витісняти нападника, змінити облікові дані й за сумнівів перебудувати систему.
