Инструментарий Red Team: Основные инструменты и методы для операций наступательной безопасности

Red teaming — это продвинутая форма оценки кибербезопасности, при которой этичные хакеры моделируют реальные атаки для проверки защитных механизмов организации. В отличие от тестирования на проникновение (penetration testing), которое обычно сосредоточено на конкретных системах или приложениях, red teaming имитирует устойчивые и скрытные действия злоумышленников, часто проверяя способности "синей команды" (blue team) к обнаружению и реагированию.

Для проведения эффективной red teaming-атаки необходим набор инструментов, охватывающих различные этапы жизненного цикла атаки. В этом блоге представлен подробный обзор основных инструментов red teaming, классифицированных по этапам фреймворка MITRE ATT&CK:

Инструменты Red Team
Короткие ссылки:fire:

:red_circle: РАЗВЕДКА (RECONNAISSANCE):​

• RustScan ==> https://lnkd.in/ebvRfBNy
• NmapAutomator ==> https://lnkd.in/gu5wxzf6
• AutoRecon ==> https://lnkd.in/g3DeG6YT
• Amass ==> https://lnkd.in/e7V569N5
• CloudEnum ==> https://lnkd.in/ePHDeGZv
• Recon-NG ==> https://lnkd.in/edwaXFjS
• AttackSurfaceMapper ==> https://lnkd.in/ebbcj6Rm
• DNSDumpster ==> https://dnsdumpster.com/

:red_circle: НАЧАЛЬНЫЙ ДОСТУП (INITIAL ACCESS):​

• SprayingToolKit ==> https://lnkd.in/eBSAPz5z
• o365Recon ==> https://lnkd.in/eJwCx-Ga
• Psudohash ==> https://lnkd.in/gcaxV6fR
• CredMaster ==> https://lnkd.in/gtMEDVuS
• DomainPasswordSpray ==> https://lnkd.in/guWj4TYv
• TheSprayer ==> https://lnkd.in/gZVuQYiv
• TREVORspray ==> https://lnkd.in/gHgcbjgV

:red_circle: ДОСТАВКА (DELIVERY):​

• o365AttackToolKit ==> https://lnkd.in/etCCYi8y
• EvilGinx2 ==> https://lnkd.in/eRDPvwUg
• GoPhish ==> https://lnkd.in/ea26dfNg
• PwnAuth ==> https://lnkd.in/eqecM7de
• Modlishka ==> https://lnkd.in/eds-dR5C

:red_circle: КОМАНДОВАНИЕ И УПРАВЛЕНИЕ (COMMAND AND CONTROL):​

• PoshC2 ==> https://lnkd.in/eqSJUDji
• Sliver ==> https://lnkd.in/ewN9Nday
• SILENTTRINITY ==> https://lnkd.in/eeZGbYMs
• Empire ==> https://lnkd.in/egAPa8gY
• AzureC2Relay ==> https://lnkd.in/efmh2t3g
• Havoc C2 ==> https://lnkd.in/gEFp2iym
• Mythic C2 ==> https://lnkd.in/gnCGwfWk

:red_circle: КРАЖА УЧЕТНЫХ ДАННЫХ (CREDENTIAL DUMPING):​

• MimiKatz ==> https://lnkd.in/etEGfvJK
• HekaTomb ==> https://lnkd.in/eJx5Ugu5
• SharpLAPS ==> https://lnkd.in/eA28n9FT
• Net-GPPPassword ==> https://lnkd.in/e3CTez5A
• PyPyKatz ==> https://lnkd.in/eeb5b6Tz

:red_circle: ПОВЫШЕНИЕ ПРИВИЛЕГИЙ (PRIVILEGE ESCALATION):​

• SharpUp ==> https://lnkd.in/etR2Pe_n
• MultiPotato ==> https://lnkd.in/eq53PXcJ
• PEASS ==> https://lnkd.in/eWA66akh
• Watson ==> https://lnkd.in/eZfYMSMX
• Bat-Potato ==> https://lnkd.in/gjziyG8q

:red_circle: УКЛОНЕНИЕ ОТ ОБНАРУЖЕНИЯ (DEFENSE EVASION):​

• Villain ==> https://lnkd.in/gquyGFm5
• EDRSandBlast ==> https://lnkd.in/e8g8zYFT
• SPAWN — Cobalt Strike BOF ==> https://lnkd.in/e223PbqZ
• NetLoader ==> https://lnkd.in/ef5wCD4y
• KillDefenderBOF ==> https://lnkd.in/eVd54HUp
• ThreatCheck ==> https://lnkd.in/eHvSPakR
• Freeze ==> https://lnkd.in/eNUh3zCi
• GadgetToJScript ==> https://lnkd.in/egPQBBXJ

:red_circle: СОХРАНЕНИЕ ДОСТУПА (PERSISTENCE):​

• SharPyShel ==> https://lnkd.in/eXm8h8Bj
• SharpStay ==> https://lnkd.in/erRbeFMj
• SharpEventPersist ==> https://lnkd.in/e_kJFNiB

:red_circle: ПЕРЕДВИЖЕНИЕ ПО СЕТИ (LATERAL MOVEMENT):​

• SCShell ==> https://lnkd.in/e256fC8B
• MoveKit ==> https://lnkd.in/eR-NUu_U
• ImPacket ==> https://lnkd.in/euG4hTTs

:red_circle: ЭКСФИЛЬТРАЦИЯ ДАННЫХ (EXFILTRATION):​

• SharpExfiltrate ==> https://lnkd.in/eGC4BKRN
• DNSExfiltrator ==> https://lnkd.in/epJ-s6gp
• Egress-Assess ==> https://lnkd.in/eXGFPQRJ

:red_circle: 1. РАЗВЕДКА (RECONNAISSANCE)​

Разведка включает сбор информации о целевой организации, выявление потенциальных векторов атаки и картирование инфраструктуры.
:fire: Лучшие инструменты для разведки:

:white_check_mark: RustScan
Современный, сверхбыстрый сканер портов, написанный на Rust. Автоматизирует процесс сканирования портов и передает результаты в Nmap для более глубокого анализа.

:white_check_mark: NmapAutomator
Автоматизирует стандартные сканирования Nmap, ускоряя этап разведки. Предлагает несколько профилей сканирования, таких как Quick, UDP и Full.

:white_check_mark: AutoRecon
Автоматизированный многопоточный инструмент для разведки. Выполняет сканирование с помощью Nmap, Nikto и Gobuster.

:white_check_mark: Amass
Проект OWASP для картографирования сети, обнаружения внешних активов и перечисления DNS. Выполняет пассивную и активную разведку.

:white_check_mark: CloudEnum
Идентифицирует публично доступные облачные ресурсы. Поддерживает AWS, Azure, GCP и DigitalOcean.

:white_check_mark: Recon-NG
Фреймворк на Python для автоматизированного OSINT и разведки. Интегрируется с Shodan, Censys и другими.

:white_check_mark: AttackSurfaceMapper
Автоматизированный инструмент для картирования поверхности атаки и разведки. Объединяет данные Nmap, Shodan и Whois.

:white_check_mark: DNSDumpster
Онлайн-инструмент для перечисления DNS и пассивной разведки. Предоставляет визуальную карту DNS-инфраструктуры.

:red_circle: 2. НАЧАЛЬНЫЙ ДОСТУП (INITIAL ACCESS)​

Начальный доступ направлен на получение точки опоры путем эксплуатации уязвимостей или использования атак на подбор учетных данных, фишинга или неправильных конфигураций.
:fire: Лучшие инструменты для начального доступа:

:white_check_mark: SprayingToolKit
Инструмент на Python для атак на подбор паролей. Поддерживает протоколы O365, SMB и WinRM.

:white_check_mark: o365Recon
Инструмент для перечисления действительных учетных записей O365. Используется для целевого фишинга или атак на подбор паролей.

:white_check_mark: Psudohash
Создает списки паролей на основе личной информации. Полезен для создания пользовательских словарей.

:white_check_mark: CredMaster
Автоматизированный инструмент для проверки и подбора учетных данных. Использует домен-специфичные шаблоны для повышения успешности.

:white_check_mark: DomainPasswordSpray
Выполняет атаки на подбор паролей против Windows Active Directory. Обходит пороговые значения блокировки учетных записей.

:white_check_mark: TheSprayer
Простой инструмент для подбора паролей по нескольким протоколам. Поддерживает LDAP, SMB и RDP.

:white_check_mark: TREVORspray
Инструмент для подбора паролей для SSH-сервисов на Linux. Быстрый и эффективный для атак методом перебора.

:red_circle: 3. ДОСТАВКА (DELIVERY)​

Инструменты доставки сосредоточены на выполнении фишинговых кампаний или доставке полезной нагрузки с помощью методов социальной инженерии.
:fire: Лучшие инструменты для доставки:

:white_check_mark: o365AttackToolKit
Автоматизирует фишинговые кампании O365. Перехватывает токены MFA и обходит аутентификацию.

:white_check_mark: EvilGinx2
Фреймворк для атак "человек посередине". Используется для фишинга и перехвата учетных данных, защищенных 2FA.

:white_check_mark: GoPhish
Открытый фреймворк для фишинга. Помогает моделировать и обучать защите от фишинговых атак.

:white_check_mark: PwnAuth
Инструмент для фишинга OAuth. Обходит защиту MFA.

:white_check_mark: Modlishka
Обратный прокси-инструмент для фишинга. Способен обходить 2FA с использованием перехвата сессии.

:red_circle: 4. КОМАНДОВАНИЕ И УПРАВЛЕНИЕ (COMMAND AND CONTROL, C2)​

Инструменты C2 позволяют злоумышленникам сохранять доступ и управление скомпрометированными системами.
:fire: Лучшие инструменты C2:

:white_check_mark: PoshC2
Фреймворк для управления после эксплуатации. Использует полезные нагрузки на основе Powershell.

:white_check_mark: Sliver
Кросс-платформенный фреймворк C2. Поддерживает Windows, Linux и macOS.

:white_check_mark: SILENTTRINITY
Фреймворк C2 для управления после эксплуатации. Основан на .NET и Powershell.

:white_check_mark: Empire
Агент для управления после эксплуатации. Включает модули для повышения привилегий и перемещения по сети.

:white_check_mark: Havoc C2
Современный фреймворк C2. Обходит антивирусы и EDR.

:white_check_mark: Mythic C2
Открытый фреймворк C2. Высокомодульный и настраиваемый.

:red_circle: 5. КРАЖА УЧЕТНЫХ ДАННЫХ (CREDENTIAL DUMPING)​

Инструменты для кражи учетных данных извлекают хэши паролей и учетные данные из скомпрометированных систем.

:white_check_mark: MimiKatz
Извлекает пароли в открытом виде и хэши из памяти.

:white_check_mark: HekaTomb
Извлекает данные из базы данных NTDS.dit.

:white_check_mark: SharpLAPS
Извлекает пароли Local Administrator Password Solution (LAPS).

:red_circle: 6. ПОВЫШЕНИЕ ПРИВИЛЕГИЙ (PRIVILEGE ESCALATION)​

Инструменты для повышения привилегий помогают злоумышленникам перейти от пользователя с низкими привилегиями к администратору.

:white_check_mark: PEASS
Коллекция скриптов для повышения привилегий.

:white_check_mark: Watson
Обнаруживает уязвимости для повышения привилегий.

:red_circle: 7. УКЛОНЕНИЕ ОТ ОБНАРУЖЕНИЯ (DEFENSE EVASION)​

Инструменты для уклонения от обнаружения обходят механизмы защиты, такие как EDR и антивирусы.

:white_check_mark: Villain
Создает обратные оболочки, обходящие EDR.

:white_check_mark: Freeze
Отключает Windows Defender.

:red_circle: 8. СОХРАНЕНИЕ ДОСТУПА (PERSISTENCE)​

Инструменты для сохранения доступа обеспечивают злоумышленникам постоянный доступ к скомпрометированным системам.

:white_check_mark: SharPyShell
Устанавливает постоянные обратные оболочки.

:red_circle: 9. ПЕРЕДВИЖЕНИЕ ПО СЕТИ (LATERAL MOVEMENT)​

:white_check_mark: ImPacket
Позволяет перемещаться по сети и извлекать учетные данные.

:red_circle: 10. ЭКСФИЛЬТРАЦИЯ ДАННЫХ (EXFILTRATION)​

:white_check_mark: SharpExfiltrate
Передает данные через DNS.