ОКТЯБРЬ. LOLBins и threat hunting: PowerShell, certutil, curl, wget, tasklist, whoami и контекст использования

PowerShell, curl, certutil, tasklist и whoami не вредоносны. Они нужны администраторам, разработчикам и средствам автоматизации. Но именно поэтому атакующие любят их использовать: бинарник уже находится в системе, подписан производителем и часто разрешён политиками. Детектировать нужно не имя процесса, а контекст.

  

Контекст сильнее имени

Для каждого административного инструмента полезны четыре измерения: кто запустил, где запустил, когда и что произошло рядом. PowerShell от deployment account в 03:00 по расписанию и PowerShell от пользователя бухгалтерии сразу после фишингового письма — это разные события, хотя имя процесса одинаковое.

 

GOFFEE: штатные команды внутри реальной атаки

Kaspersky описывала кампании GOFFEE против организаций в России и Беларуси. В цепочках использовались стандартные команды и утилиты для разведки и управления, а также агенты Mythic и другие бэкдоры. В июльском исследовании 2026 отдельно отмечался Mythic-агент внутри Linux-контейнера. В августе Kaspersky сообщила о продолжении атак и более чем 100 организациях в телеметрии кампании (источник - Kaspersky от 28.08.2026).

 

Что искать

Необычная последовательность whoami → tasklist → ipconfig/net group → архивирование → curl/wget; certutil в пользовательском профиле; PowerShell с encoded command; сетевое соединение утилиты, которая обычно не выходит наружу; запуск из временной директории; новый scheduled task; административная команда от учётной записи без такой роли.

 

Проверка пройдена, если

Использование стандартной административной утилиты нетипичным пользователем, на нетипичном узле или в нетипичное время создаёт заметное событие. Команда умеет объяснить базовый профиль нормальной активности и отличить отклонение без тотального запрета инструментов.

 

Не превращайте hunting в список хэшей

Living-off-the-land меняется мало: злоумышленники комбинируют штатные средства по-разному. Поэтому полезнее hunting hypothesis «пользователь без админской роли выполняет discovery и сетевую передачу», чем десяток IOC, которые устареют через неделю.

 

Как это связано с решениями Смарт-Софт

TING может давать сетевой контекст и события IDS/IPS — например, необычные соединения утилит, которые обычно не выходят наружу. Pereluk может связать эти слабые сигналы в общую картину: пользователь, узел, время, последовательность команд. Detection rules и поддерживаемые источники зависят от конфигурации, но принцип остаётся: контекст важнее имени утилиты.

 

Что сделать сегодня

• Выбрать 3 LOLBins, реально используемых администраторами.
• Описать нормальный контекст их запуска.
• Создать одну hunting-гипотезу на отклонение от этого профиля.

 

Источники

• Securelist by Kaspersky. Новые кампании GOFFEE: расширение географии, неописанные TTP и контейнеры. 29.07.2026.
• Securelist by Kaspersky. APT-группа GOFFEE продолжает атаки на организации в РФ. 28.08.2026.

 
Последняя техническая проверка: 14.10.2026.