Atera как инструмент атак: RMM, HTA и обход обнаружения

Atera, облачная платформа удаленного мониторинга и управления (RMM), прочно вошла в повседневную практику ИТ‑администраторов. Именно эта легальность и удобство сделали её привлекательной не только для администраторов, но и для злоумышленников: платформа предоставляет функциональность, которую преступники используют для доставки вредоносного ПО, сохранения доступа и маскировки активности в сети.

Кратко о возможностях Atera и почему она интересна атакующим

Atera предоставляет набор функций, привычных для RMM: мониторинг конечных точек, автоматизацию задач, удалённую IT‑поддержку, установку пакетов и управление процессами. Эти же возможности позволяют злоумышленникам:

• доставлять и запускать вредоносное ПО на целевых хостах;
• организовывать закрепление и продвижение по сети (lateral movement);
• маскировать вредоносную активность под легитимные операции администратора;
• использовать знакомые пользователям интерфейсы для проведения social engineering (фишинг, клонирование сайтов и т.д.).

Типичные механики атак с использованием Atera

Анализ инцидентов показывает несколько типичных приёмов злоумышленников при использовании платформ RMM, в том числе Atera:

• Прямая доставка: злоумышленники используют функционал установки пакетов для распространения MSI‑файлов и запуска вредоносных компонентов.
• Комбинация HTA + PowerShell + MSI: файл HTA запускает команды PowerShell, которые устанавливают MSI, манипулируя процессом установки, чтобы скрыть вредоносную активность.
• Социальная инженерия: фишинговые письма и клоновые сайты для получения учётных данных, подтверждения доступа или запуска легитимных утилит администратора.
• Маскировка в сетевом трафике: трафик RMM обычно схож с обычным административным трафиком, что упрощает поддержание закрепления и усложняет обнаружение.

Примеры детектов и попытки обхода

Во время операций группы Conti аналитики выявляли и настраивали правила для обнаружения установок Atera по процессу msiexec.exe. Однако практика показывает, что такие детекты работают не всегда: злоумышленники адаптируют техники (например, изменяют цепочки запуска, используют нестандартные аргументы или промежуточные скрипты), чтобы обойти статические сигнатуры и оповещения.

«Способность инструментов RMM сливаться с обычным сетевым трафиком в значительной степени повышает их привлекательность для поддержания закрепления в скомпрометированных средах.»

Чем это чревато для организаций

• Длительное закрепление злоумышленников в сети и сложность их обнаружения;
• Повышенные риски lateral movement и компрометации конфиденциальных данных;
• Затруднённое разделение легитимной админ‑активности и вредоносных действий;
• Необходимость дополнительных затрат на расследование инцидентов и восстановление.

Рекомендации по защите и обнаружению

Чтобы снизить риски, связанные с злоупотреблением RMM‑платформами, следует применять набор технических и организационных мер:

• Контекстная телеметрия: не полагаться только на детекцию по имени процесса (например, msiexec.exe), а анализировать родительские процессы, командную строку и соответствие типичной деятельности.
• Логирование PowerShell и командной строки: включить расширенное логирование и централизованный сбор для расследований.
• Ограничение использования HTA и отключение ненужных механизмов исполнения скриптов в средах, где это возможно.
• Application allowlisting (whitelisting) и контроль запуска установщиков с проверкой цифровых подписей.
• Сегментация сети и ограничение административного доступа по принципу минимальной привилегии.
• MFA и жёсткая политика управления учётными записями для доступа к RMM-консолям.
• EDR‑решения и активный threat hunting: выявление аномалий в поведении процессов и сетевой активности.
• Регулярные аудиты конфигураций RMM: кто имеет доступ, какие политики развернуты и какие пакеты устанавливаются.

Вывод

Atera остаётся мощным инструментом для администратора, но та же сила делает её привлекательной для злоумышленников. Ключ к защите — не только блокировка конкретных техник, но и внедрение адаптивных, контекстно‑осмысленных механизмов обнаружения и управляемых практик безопасности. Только сочетание технических мер и организационной дисциплины позволит снизить риск злоупотребления распространёнными RMM‑решениями.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.