Карточка риска

Куда я попал?

SECURITM это система для корпоративных служб информационной безопасности, которая автоматизирует ключевые процессы управления: контроль соответствия требованиям, управление рисками, учет активов, планирование работ, задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.

Подробнее

Наш канал

Угроза

Обход систем защиты

из-за уязвимости

Возможность выполнения кода через утилиту разработчика MSBuild

в Активе

ОС Windows

Описание угрозы

Чтобы избежать обнаружения во время компрометации инфраструктуры злоумышленники могут попытаться обойти действующие системы защиты. Системы защиты можно обойти через удаление / отключение программного обеспечения безопасности, обфускацию / шифрование данных и сценариев. Злоумышленники также могут использовать надежные процессы, чтобы скрыть и замаскировать свои вредоносные программы.

Описание уязвимости

Злоумышленники могут использовать MSBuild для выполнения вредоносного кода через доверенную утилиту MSBuild.exe (Microsoft Build Engine), которая является платформой сборки программного обеспечения.
MSBuild.exe это подписанный двоичный файл Microsoft, поэтому при использовании таким образом он может выполнять произвольный код и обходить защиту управления приложениями, при добавленном в исключения MSBuild.

Описание типа актива

Microsoft Windows любых версий

Область действия: Вся организация

Объекты атаки Средство защиты информации

Классификация

КЦД: Целостность

STRIDE: Повышение привилегий

Источники угрозы

Внешний нарушитель - Средний потенциал

Внутренний нарушитель - Средний потенциал

Каталоги

Техники ATT@CK:

T1127.001 Trusted Developer Utilities Proxy Execution: MSBuild

Adversaries may use MSBuild to proxy execution of code through a trusted Windows utility. MSBuild.exe (Microsoft Build Engine) i...

Связанные защитные меры

Ничего не найдено