Анализ атак Handala Hack для ВКР: от выявления угроз до построения защиты

В марте 2026 года SecurityLab сообщил: Handala Hack удаляет файлы жертв через «Корзину», маскируясь под штатное удаление. Никаких сложных шифровальщиков — только социальная инженерия и доступ к учёткам. Для студента ИТ-специальности это готовый полигон: вы можете промоделировать такую атаку, построить защиту и защитить диплом. Без абстрактных угроз — с реальной тактикой, митрами и метриками.

Кейс Handala в структуре диплома по ИБ

Главная ценность статьи — демонстрация атаки, которая обходит традиционные сигнатуры. Вот как это ложится на три типовые темы ВКР:

Как встроить статью в главы

Глава 1 (анализ): Приведите описание атаки Handala как пример тактики Indicator Removal (T1070) по MITRE ATT&CK. Оцените ущерб: потеря данных, время восстановления. Используйте CVSS 3.1 — базовая оценка 7.5 (высокая), так как удаление необратимо.

Глава 2 (проектирование): Нарисуйте C4-диаграмму контейнеров: пользователь → контроллер домена → EDR-агент → SIEM. Покажите поток событий: «Корзина» → sysmon → WinEvent → Elastic. Для любой темы из таблицы добавьте pre с примером правила YARA для детекта:

rule Handala_Trash_Delete {
    meta:
        description = "Detects mass delete via Recycle Bin by Handala-like tools"
        author = "Student VKR"
        date = "2026-03-14"
    strings:
        $s1 = "C:\\$Recycle.Bin" wide
        $s2 = "shell32.dll!SHFileOperationW" wide
        $s3 = "FO_DELETE" wide
    condition:
        all of them and #s1 > 10
}

Глава 3 (тестирование и метрики): Для тем 1 и 2 используйте метрики: Precision/Recall для UEBA, MTTD/MTTR для SIEM. Соберите датасет: удалите 50 файлов вручную (имитация атаки), замерьте, сколько событий попало в SIEM. Рассчитайте CVSS для атаки — покажите, что после внедрения защиты оценка снизилась с 7.5 до 4.0.

Частые вопросы студентов