| Hostname | IP-адрес | Операционная система и стек | Роль в инфраструктуре |
|---|---|---|---|
| web-server | 10.0.10.5 | Ubuntu 20.04.1 LTS (5.4.0-42), Apache 2.4.57 (сборка с -DBIG_SECURITY_HOLE от root), DVWA, MariaDB |
Веб-сервер сегмента DMZ. Точка входа атакующего. |
| ws01 | 10.0.30.53 | Windows 10 (сборка 17763), в домене acme.skb, Microsoft Defender |
Доменная рабочая станция пользователей. |
| dc01 | 10.0.20.51 | Windows Server 2019 (сборка 17763) | Контроллер домена acme.skb (AD DS, DNS). |
| wazuh | 10.0.20.61 | Ubuntu, Wazuh 4.3.9 (менеджер + индексер + дашборд) | СЗИ: SIEM — централизованный сбор событий с агентов 001–004. |
| wg | 10.0.10.250 | Linux | VPN-шлюз доступа в лабораторию (в атаке не участвовал). |
| kali (Attacker) | 10.0.10.254 | Kali Linux (сегмент DMZ) | Машина атакующего (деанонимизирована по NTLM, ключу kali@kali и пути \\tsclient\_home_kali_Documents_Brute-RDP.py_rdpshare_). |
| Хост | Извлечённые источники и артефакты форензики |
|---|---|
| web-server | /var/log/auth.log.1 (SSH), /etc/apache2/logs/dummy-host-access_log, /root/.bash_history, last -F (wtmp), /var/log/dpkg.log.1, образец ВПО backdoor.php (MD5/SHA256), правило Wazuh 506. |
| ws01 | Журнал Security (4624, 4625, 1102), Microsoft Defender/Operational (5001, 5007, 1116, 1117), алерты Wazuh (60204, 92652), отчёт WER AppCrash (CVE-2019-0623), C:\Users\Public\Documents. |
| dc01 | Журнал Security (4624, 4662), Get-ADUser (SID), корзина C:\$Recycle.Bin (очистка от SID *-1107), секретный файл TOP SECRET!.txt + LNK в Recent, правило Wazuh 92652. |
| wazuh | Дашборд Security Events (DQL rule.level >= 7), сработки правил 5104 (promiscuous mode), 60204 (брутфорс), 92652 (Pass-the-Hash), 506 (останов агента). |
| Дата и время | Хост | Описание события | Квалификация и MITRE ATT&CK |
|---|---|---|---|
| 18.04.2023 12:03 | wazuh | Интерфейс переведён в promiscuous mode (правило 5104) |
Сетевой сниффинг (T1040) |
| 19.04.2023 21:30–21:47 | web-server | SSH-входы ubuntu с 10.0.10.254; повышение прав через sudo -s |
Начальный доступ и LPE до root (T1078) |
| 19.04.2023 21:52:47 | web-server | POST /vulnerabilities/upload/ — загрузка backdoor.php в DVWA |
Эксплуатация File Upload (T1190), ВПО №1 |
| 19.04.2023 21:53–21:55 | web-server | Команды веб-шелла: whoami, cat /etc/passwd, cat /etc/shadow; запись ключа kali@kali в /root/.ssh/authorized_keys |
Кража хешей паролей (T1003) и закрепление по SSH (T1098.004) |
| 19.04.2023 22:00–22:20 | ws01 | 28 неудачных NTLM-входов localadmin (4625) с 10.0.10.5 (правило 60204); монтирование диска \\tsclient\_home_kali_Documents_Brute-RDP.py_rdpshare_ |
Брутфорс RDP через SSH-туннель (T1110) и доставка ВПО (T1105) |
| 19.04.2023 22:08–22:09 | ws01 | Детекты Defender: HackTool:Win32/Mimikatz.D, Trojan:Win32/Sabsik (cve-2019-1458.exe) + AppCrash CVE-2019-0623.exe |
Попытка дампа LSASS (T1003) и эксплуатации LPE Win32k (T1068) |
| 19.04.2023 22:12:12 | ws01 | Отключена защита в реальном времени Microsoft Defender (событие 5001) и SpyNet (5007) | Ослабление защиты (Defense Evasion, T1562.001) |
| 19.04.2023 22:20–22:22 | ws01 / dc01 | Атака Pass-the-Hash (правило 92652) и вход на контроллер домена dc01 под ACME\domainadmin |
Перемещение по сети (T1550.002) и полный захват домена |
| 19.04.2023 22:23–22:25 | dc01 | Очистка корзины (SID *-1107) и открытие файла C:\Users\domainadmin\Desktop\TOP SECRET!.txt (94 048 байт) |
Заметание следов (T1070) и кража секретных данных (T1005) |
| 19.04.2023 22:32:56 | web-server | Принудительный останов службы агента Wazuh (правило 506) | Сокрытие следов на точке входа (T1562.001) |
| № | Экземпляр ВПО | Расположение / Индикаторы (IoC) | Назначение и роль в атаке |
|---|---|---|---|
| 1 | backdoor.php |
/var/www/DVWA/hackable/uploads/backdoor.phpSHA256: eaa0a356da7712bf0f70f0f2a80f3044... |
Веб-шелл (Daniel Berliner). Выполнял команды от имени root через ?c=, похитил /etc/shadow и имплантировал SSH-ключ. |
| 2 | mimikatz.exe |
\\tsclient\...\mimikatz.exeСигнатура: HackTool:Win32/Mimikatz.D |
Извлечение паролей и NTLM-хешей доменных учётных записей (domainadmin, domainuser) из памяти LSASS на ws01. |
| 3 | cve-2019-1458.exe |
C:\Users\Public\Documents\CVEs\cve-2019-1458.exeСигнатура: Trojan:Win32/Sabsik.TE.A!ml |
Эксплойт повышения привилегий ядра Win32k (CVE-2019-1458) до уровня SYSTEM. |
| 4 | CVE-2019-0623.exe |
Доказан отчётом WER AppCrash_CVE-2019-0623.ex_... (22:08:54) |
Эксплойт локального повышения привилегий Win32k; аварийно завершился при запуске и был удалён атакующим. |
| 5 | Brute-RDP.py |
/root/1/Brute-RDP.py + словарь passwords.txt |
Скрипт словарного брутфорса RDP против ws01 (28 попыток EventID 4625), подобравший пароль к localadmin. |
Ключевые причины: (1) Сборка Apache с флагом -DBIG_SECURITY_HOLE от имени root и уязвимое приложение DVWA в продуктивной сети; (2) отсутствие политики блокировки УЗ (Account Lockout) и слабые пароли; (3) отключённый Tamper Protection в Defender; (4) отсутствие сетевой изоляции между DMZ и сегментом рабочих станций/КД; (5) вход доменного администратора на пользовательскую станцию без Credential Guard и LAPS.
Рекомендации: Удалить DVWA, переустановить Apache от непривилегированной УЗ и внедрить WAF; включить Account Lockout, сменить пароли всех УЗ и дважды сбросить пароль krbtgt; включить Tamper Protection, Credential Guard и LAPS через GPO; заблокировать SMB/RDP из DMZ во внутреннюю сеть и запретить AllowTcpForwarding в SSH; настроить Wazuh Active Response на правила 60204, 92652 и 506.
10.0.10.254 полностью скомпрометировал домен acme.skb (от веб-сервера DMZ до контроллера домена dc01). Зафиксирована компрометация и эксфильтрация секретного файла C:\Users\domainadmin\Desktop\TOP SECRET!.txt (94 048 байт) и теневого файла хешей /etc/shadow через проброшенный ресурс \\tsclient по RDP поверх SSH-туннеля.