Етап 1: Initial Access (Первинний доступ)  

Припустимо, зловмисник уже всередині мережі та знаходить машину з відкритим портом SMB. У хід йде brute force логінів та паролів:
crackmapexec smb 192.168.1.100 -u users.txt -p passwords.txt

Ми підбираємо облікові дані за допомогою попередньо підготовлених списків. Якщо пощастило — отримуємо обліковий запис адміністратора. Джекпот.
✅ Initial Access — успішно.

Етап 2: Credential Dumping (Злив облікових даних)  

Далі BianLian зазвичай лізе у «сейф із паролями». Ми теж не відстаємо: використовуємо легендарний інструмент з Impacket — secretsdump.py:

python3 secretsdump.py Administrator:001.1.861.291%40321droWssaP
Отримуємо NTLM-хеші.
✅ Credential Dumping — успішно.

Етап 3: Lateral Movement (Переміщення периметром)  

Тут у гру вступає важка артилерія:

python3 psexec.py Administrator:001.1.861.291%40321droWssaP
Impacket створює тимчасовий .exe файл, закидає його на віддалений хост і запускає через services.exe. Отримуємо shell із правами SYSTEM — кібереквівалент золотого ключика від усіх дверей.
Йдемо далі: всередині створюємо нового користувача, вмикаємо RDP через reg.exe, відкриваємо порти у Windows Firewall, і, звичайно ж, не забуваємо залишити backdoor.
✅ Lateral Movement — успішно.

Ми отримуємо таку картину:

🎯 Що змінилося:  
● crackmapexec знаходить пароль, але не може виконати команди або створити сервіс
● Більше немає заповітної мітки (Pwn3d!) — отже, Trellix блокує віддалене виконання коду
● Перешкоджає запуску cmd.exe, rundll32.exe, powershell.exe у підозрілому контексті 

Цікаво? Ми також так подумали. Результат:
● Антивірус бачить все, але не заважає — просто спостерігає
● Під час спроби віддаленого доступу із SYSTEM-правами спрацьовує блокування
● Тимчасовий .exe, створений psexec.py, миттєво видаляється
● Adaptive Threat Protection (ATP) вмикається на етапі On-Execute, аналізує файл, звіряє його з GTI (глобальна репутаційна система) та видаляє шкідливий .exe

Переходимо до блокування Backdoor'у.
У минулому нападник залишив слід через cmd.exe, запускаючи:
● reg.exe ● netsh.exe ● net.exe ● net1.exe
Тепер ми встановили правило: жодних запусків цих процесів через cmd.exe.

Результат нас тішить: Backdoor — скасовується, хакер — у паніці.

І, авжеж, всі атаки фіксуються на хості:

І на централізованій консолі управління ePO для подальшого розслідування: