Этап 1: Initial Access (Первичный доступ) 

Допустим, злоумышленник уже внутри сети и находит машину с открытым портом SMB. В ход идет brute force логинов и паролей:
crackmapexec smb 192.168.1.100 -u users.txt -p passwords.txt

Мы подбираем учетные данные с помощью заранее подготовленных списков. Если повезло — получаем учетку администратора. Джекпот.

✅ Initial Access — успешно.

Этап 2: Credential Dumping (Слив учетных данных) 

Дальше BianLian обычно лезет в «сейф с паролями». Мы тоже не отстаем: используем легендарный инструмент из Impacket — secretsdump.py:

python3 secretsdump.py Administrator:001.1.861.291%40321droWssaP
Получаем NTLM-хэши.

✅ Credential Dumping — успешно.

Этап 3: Lateral Movement (Перемещение по периметру) 

Тут в игру вступает тяжелая артиллерия:

python3 psexec.py Administrator:001.1.861.291%40321droWssaP
Impacket создаёт временный .exe-файл, закидывает его на удаленный хост и запускает через services.exe. Получаем shell с правами SYSTEM — киберэквивалент золотого ключика от всех дверей.

Идем дальше: внутри создаем нового пользователя, включаем RDP через reg.exe, открываем порты в Windows Firewall, и, конечно же, не забываем оставить backdoor.

✅ Lateral Movement — успешно.

У нас выходит такая картина:

🎯 Что изменилось: 
● crackmapexec находит пароль, но не может выполнить команды или создать сервис
● Больше нет заветной метки (Pwn3d!) — значит, Trellix блокирует удаленное выполнение кода
● Препятствует запуску cmd.exe, rundll32.exe, powershell.exe в подозрительном контексте 

Любопытно? Мы тоже так подумали. Результат:
● Антивирус видит все, но не мешает — просто наблюдает
● При попытке удаленного доступа с SYSTEM-правами срабатывает блокировка
● Временный .exe, созданный psexec.py, моментально удаляется
● Adaptive Threat Protection (ATP) включается на этапе On-Execute, анализирует файл, сверяет его с GTI (глобальная репутационная система) и удаляет вредоносный .exe

Переходим к блокировке Backdoor’а.
В прошлом атакующий оставил след через cmd.exe, запуская:
● reg.exe ● netsh.exe ● net.exe ● net1.exe
Теперь мы задали правило: никаких запусков этих процессов через cmd.exe.

Результат нас порадует: Backdoor — отменяется, хакер — в панике.

И, конечно же, все атаки фиксируются на хосте:

И на централизованной консоли управления ePO для дальнейшего расследования: