Песочница, в которой прятался враг

Читал, что в системе с высокой степенью защиты обнаружили скрытую точку присутствия — не через брешь в коде, а через встроенную функцию ОС. Сначала показалось, что это про сложные атаки. Потом понял — это про то, как легко можно пропустить угрозу, если не смотреть на всё, что работает в системе.

О чём речь и почему я считаю это важным для сайта

Речь не о том, что сайт взломали. Речь о том, что кто-то уже внутри — и использует легитимные инструменты, чтобы не быть замеченным. Это не про уязвимость в WordPress или PHP. Это про то, как система может быть скомпрометирована через то, что вы считаете безопасным.

Я считаю, что это важно, потому что уязвимость не всегда в коде. Иногда она в том, что система позволяет делать что-то, что не должно быть возможно. И если это не контролируется — угроза остаётся, даже если сайт «работает».

Как это устроено — что тут вообще происходит

В статье описана ситуация, когда злоумышленник не пытался обойти защиту — он зашёл внутрь легитимной виртуальной среды, которая сама по себе не вызывает подозрений. Windows Sandbox — это встроенная функция, которая работает как временная виртуальная машина. Она не видна EDR, не требует установки, и запуск её — штатная операция.

Атакующий не стал скрывать себя. Он использовал это как укрытие: запускал инструменты внутри, передавал данные через общую папку, и даже настроил автозапуск через планировщик. Получилось, что система работала «как надо», но внутри уже был чужой процесс.

Как понять, что это касается вашего сайта («как я это проверяю»)

Я проверяю это первым делом, когда смотрю на систему. Не только на сервер, но и на то, что может быть запущено на уровне ОС. Особенно если сайт работает на Windows-сервере или в среде, где доступны виртуальные машины.

Проверяю наличие запланированных задач, которые запускают wsb.exe, смотрю, нет ли нестандартных конфигурационных файлов .wsb, и проверяю, какие процессы запускаются в фоне. Это не про сложные инструменты — это про то, что система может быть использована в обход защиты.

Что с этим делать («что я делаю в таких случаях»)

Первое — не паниковать. Угроза не в том, что кто-то «взломал» сайт. Она в том, что кто-то уже внутри, и использует легитимные возможности. Поэтому чистка — только начало.

Я начинаю с резервной копии, затем анализирую системные процессы, проверяю планировщик, ищусь в конфигурациях. Если нахожу нестандартные точки — удаляю, настраиваю контроль доступа, и отключаю ненужные функции. Главное — не просто вычистить, а понять, как это попало.

Что здесь даёт поддержка

На постоянной поддержке мы не просто чистим заражение — мы закрываем причину. Заражают не «хакеры, выбранные вами». Заражают боты, которые сканируют уязвимости. Если система позволяет запускать виртуальные среды — мы это контролируем.

У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Это значит, что даже если кто-то попробует активировать скрытый процесс, мы увидим отклонение в поведении раньше, чем вы заметите. И не просто увидим — сразу начнём разбираться.

Наши клиенты не думают о безопасности — они просто работают. А мы уже давно закрыли все такие риски. Попробуйте аудит безопасности — бесплатно, без обязательств.