Зброя у довірених руках: як зловмисники використовують PowerShell, WMI та LOLBins 

PowerShell та Windows Management Instrumentation (WMI) — два яскраві приклади. Поряд із іншими інструментами концепції Living off the Land (зазвичай званими LOLBins), ці легітимні засоби Windows можуть бути використані для шкідливої діяльності. 
Це створює для фахівців із захисту складне завдання: як зупинити атаку, коли зловмисник використовує довірені інструменти, які вже є всередині вашої інфраструктури? 
Відповідь вимагає виходу за межі простого поділу програм на «довірені» та «недовірені» та переходу до суворого контролю дій, які дозволено виконувати легітимним додаткам. 

LOLBins (Living off the Land Binaries) — це легітимні виконувані файли (бінарники) операційної системи, які зловмисники можуть неправомірно використовувати для виконання протиправних дій. 
Windows містить безліч вбудованих інструментів для адміністрування, написання скриптів, діагностики, мережевої взаємодії та управління системою. Замість того щоб приносити із собою стороннє шкідливе ПЗ, нападники використовують уже наявну функціональність. 
До бінарників Windows, якими зловживають найчастіше, належать: 
● PowerShell ● WMI ● Rundll32.exe ● Regsvr32.exe ● mshta.exe ● Certutil.exe ● bitsadmin.exe ● wscript.exe та cscript.exe 
Залежно від конкретного файлу, зловмисники можуть використовувати їх для виконання команд, запуску процесів, завантаження файлів, зв'язку з віддаленою інфраструктурою або підтримки інших етапів атаки. 
Ключова відмінність полягає в тому, що LOLBins самі по собі не є шкідливими. Небезпека полягає у способі використання легітимного додатка та в тому, що саме йому дозволено робити. 

PowerShell — це потужне середовище для адміністрування та автоматизації в Windows. IT-команди використовують його для налаштування систем, автоматизації рутинних процесів, управління пристроями та виконання завдань на багатьох кінцевих точках. 
Ці ж можливості роблять PowerShell привабливим і для нападників. 
Після компрометації кінцевої точки зловмисник може використати PowerShell для: ● виконання скриптів і команд; ● завантаження додаткового шкідливого навантаження (payloads); ● збору інформації про системи; ● зміни системних конфігурацій; ● доступу до конфіденційних даних; ● закріплення в системі (persistence); ● комунікації з віддаленими серверами; ● горизонтального переміщення мережею. 
Зловмисники також можуть кодувати або заплутувати команди PowerShell, щоб приховати свої наміри. Проте рішення рідко полягає в простому вимкненні PowerShell, адже від нього залежать адміністратори, робочі скрипти та бізнес-додатки. 
Замість цього організаціям потрібно чітко визначити: де саме потрібен PowerShell, хто має право ним користуватися і яким додаткам дозволено з ним взаємодіяти. 

Windows Management Instrumentation (WMI) забезпечує стандартизований спосіб отримання інформації та управління системами Windows. Адміністратори використовують WMI для запитів до системи, управління процесами та віддалених дій. Маючи достатній рівень доступу та привілеїв, нападники намагаються використати ці ж самі функції. 
Один із найбільших ризиків — віддалене виконання команд.
Після компрометації облікового запису або кінцевої точки зловмисник може за допомогою WMI запускати процеси на інших доступних системах Windows. Це дозволяє здійснювати горизонтальне переміщення мережею, спираючись на легітимну інфраструктуру управління Windows замість використання сторонніх інструментів віддаленого адміністрування. 
Також WMI використовують для закріплення в системі: нападник може створити WMI-механізми, які запускатимуть шкідливу активність у відповідь на певні системні події. 
Як і PowerShell, WMI не є шкідливим сам по собі, але зловмисники можуть направити його легітимні функції на досягнення своїх цілей. 

Атаки типу Living off the Land ускладнюють роботу моделей безпеки, орієнтованих лише на пошук шкідливого ПЗ. Традиційне шкідливе ПЗ дає захисникам підказки: підозрілий виконуваний файл, відомий хеш або впізнаване корисне навантаження. Коли ж використовуються LOLBins, значна частина атаки здійснюється за допомогою абсолютно довіреного софту. 
Факт запуску PowerShell або активність WMI на кінцевій точці сам по собі не свідчить про атаку — адміністратори можуть використовувати їх щодня. 
Різниця між легітимною та шкідливою активністю полягає в контексті. 
Командам безпеки необхідно аналізувати такі питання: 

Уявимо, що зловмисник отримав доступ до пристрою працівника через фішинг або викрадені облікові дані. Якщо він має вільний доступ до потужних інструментів Windows, він спробує використати їх для виконання команд або завантаження додаткових модулів.

Якщо скомпрометований обліковий запис має доступ до інших систем, WMI або аналогічні адміністративні інструменти стають містком для віддаленого виконання команд і просування мережею далі. Чим більше функцій є у розпорядженні користувача чи кінцевої точки, тим більше опцій отримує нападник.

Тому організаціям варто виходити з припущення, що облікові дані рано чи пізно будуть викрадені, а окремий пристрій — скомпрометований. Головна мета безпеки — не дати первинній точці проникнення перетворитися на необмежений доступ до всього середовища. 

PowerShell, WMI та інші LOLBins існують тому, що вони виконують важливі функції. Їхнє сліпе відключення порушить роботу адміністраторів, автоматичних скриптів, систем управління та бізнес-процесів. 
Оскільки повне блокування неможливе, підхід Zero Trust пропонує більш точкове зменшення ризиків. 
Організації можуть обмежити виконання скриптів PowerShell лише тими, які дійсно необхідні для робочих чи адміністративних завдань. Замість того щоб дозволяти запуск будь-якого скрипту лише тому, що сам PowerShell є довіреним, команди безпеки можуть чітко контролювати, які саме скрипти мають право на виконання, та блокувати будь-які незатверджені чи підозрілі дії ще до їх початку. 

Організації можуть суттєво ускладнити атаки типу Living off the Land, обмеживши набір дій, доступних зловмиснику після проникнення: 

PowerShell, WMI та інші LOLBins наочно демонструють обмеженість стратегій безпеки, які фокусуються виключно на пошуку шкідливих файлів. Іноді інструмент, що використовується під час атаки, є абсолютно легітимним. 
Концепція Zero Trust робить цей контроль реальним. PowerShell і WMI залишаються цінними інструментами Windows — головне переконатися, що їхні можливості неможливо легко повернути проти вашої організації.