Impacket-IoCs - это «швейцарский нож» для любого атакующего

[ADMIN]

Impacket - это «швейцарский нож» для любого атакующего. Его используют везде: от легитимных тестов на проникновение до реальных APT-кампаний. Инструменты вроде psexec, wmiexec и secretsdump стали классикой, но их частое использование оставляет характерные следы.

Наткнулся на полезный репозиторий, где собраны актуальные индикаторы компрометации (IoCs), специфичные для инструментов этой библиотеки.

Что внутри репозитория:

• Сетевые артефакты: Специфические пайпы (Named Pipes), которые создаются при удаленном выполнении команд.
• Реестр и Файловая система: Пути и ключи, оставляемые сервисами Impacket.
• Характерные паттерны: Особенности именования временных файлов и исполняемых модулей.

Даже если злоумышленник переименует исполняемый файл psexec.exe, логика работы Impacket под капотом часто выдает себя через статические строки в трафике или специфическое поведение в системе. Эти IoC помогут дополнить ваши правила в SIEM/EDR.

To view the content, you need to Sign In or Register.

 

[Support]

Impacket - это «швейцарский нож» для любого атакующего. Его используют везде: от легитимных тестов на проникновение до реальных APT-кампаний. Инструменты вроде psexec, wmiexec и secretsdump стали классикой, но их частое использование оставляет характерные следы.

Наткнулся на полезный репозиторий, где собраны актуальные индикаторы компрометации (IoCs), специфичные для инструментов этой библиотеки.

Что внутри репозитория:

• Сетевые артефакты: Специфические пайпы (Named Pipes), которые создаются при удаленном выполнении команд.
• Реестр и Файловая система: Пути и ключи, оставляемые сервисами Impacket.
• Характерные паттерны: Особенности именования временных файлов и исполняемых модулей.

Даже если злоумышленник переименует исполняемый файл psexec.exe, логика работы Impacket под капотом часто выдает себя через статические строки в трафике или специфическое поведение в системе. Эти IoC помогут дополнить ваши правила в SIEM/EDR.

To view the content, you need to Sign In or Register.

[ RU ]

Основные меры предосторожности (обязательно выполняйте хотя бы часть)
- Не устанавливайте ничего, если не понимаете, что именно делает программа.
- Проверяйте источник - лучше всего официальный сайт автора или GitHub с открытым исходным кодом.
- Используйте виртуальную машину (VirtualBox, VMware) или песочницу (Sandboxie, Windows Sandbox) для теста подозрительного софта.

[ ENG ]

Basic precautions (be sure to follow at least some of them)
- Don't install anything if you don't understand what the program does.
- Check the source—preferably the author's official website or GitHub with open source code.
- Use a virtual machine (VirtualBox, VMware) or sandbox (Sandboxie, Windows Sandbox) to test suspicious software.