Карточка риска

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Угроза

Закрепление злоумышленника в ОС

из-за уязвимости

Возможность добавления программы в автозагрузку

в Активе

ОС Windows

Описание угрозы

После получения доступа к операционной системе злоумышленник может закрепиться в ней и продолжить получать доступ к системе вне зависимости от прерываний доступа.

Описание уязвимости

Злоумышленники могут добиться закрепления в инфраструктуре, добавив программу в папку автозагрузки или сославшись на нее с помощью специальных ключей реестра. Эти программы будут выполняться в контексте пользователя и будут иметь соответствующий уровень разрешений учетной записи.
Путь к папке запуска для текущего пользователя

C:\Users\[Имя пользователя]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup.

Путь к папке запуска для всех пользователей

C:\ProgramData\Microsoft\Windows\Start Меню\Программы\Запуск.

Следующие ключи запуска создаются по умолчанию в системах Windows:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

Описание типа актива

Обобщающий тип для операционных систем семейства Microsoft Windows любых версий (клиентских и серверных). Используется, когда точная версия не выделяется в отдельный тип. Массовая платформа и типовая цель атак.

На что обратить внимание:

версия и редакция, срок поддержки, статус обновлений;
права учетных записей и парольная политика;
средство антивирусной защиты;
способ удаленного управления и его защита;
журналирование событий безопасности.

Область действия: Вся организация

Объекты атаки Операционная система

Классификация

STRIDE: Повышение привилегий

Иное: НСД

Источники угрозы

Внешний нарушитель - Средний потенциал

Внутренний нарушитель - Средний потенциал

Каталоги

БДУ ФСТЭК:

УБИ.089 Угроза несанкционированного редактирования реестра

Угроза заключается в возможности внесения нарушителем изменений в используемый дискредитируемым приложением реестр, которые влия...

Техники ATT&CK:

T1547.001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

Техники МУ ФСТЭК:

T4.5 Внесение соответствующих записей в реестр, автозагрузку, планировщики заданий, обеспечивающих запуск вредоносного программного обеспечения при перезагрузке системы или сети

T3.14 Планирование запуска вредоносных программ при старте операционной системы путем эксплуатации стандартных механизмов, в том числе путем правки ключей реестра, отвечающих за автоматический запуск программ, запуска вредоносных программ как сервисов и т.п.

Название	Severity	IP	Integral
1111111 111 11 1111 11111111111111111 1111111 1 11111111111111111	-	1	-
11 111111111 111 1111111111111111111111111 1111 1 11111 1111111	-	1	-

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.