Una vez que un atacante logra ejecución en un sistema Windows, el acceso a credenciales y el movimiento lateral pueden convertirse en los siguientes objetivos. Monitorizar comportamientos bien conocidos de volcado de credenciales y de ejecución remota puede ayudar a identificar esta transición.
La fuente define una única búsqueda de creación de procesos que combina indicadores de línea de comandos con nombres de ejecutables conocidos.
Indicadores de acceso a credenciales
La consulta busca cadenas asociadas con:
sekurlsa;lsadump;comsvcs.dllMiniDump;ProcDump dirigido a LSASS;
exportación de SAM y SYSTEM desde el registro.
También comprueba la ejecución de mimikatz.exe.
Indicadores de movimiento lateral
La misma consulta incluye:
PsExec;
PAExec;
WMI
/node;creación de
Win32_Process.
Pueden usarse para una administración legítima, pero también son comportamientos importantes de movimiento lateral cuando aparecen de forma inesperada.
Consulta de detección
data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))
La fuente registró tres eventos coincidentes durante los 30 días anteriores.
Por qué los resultados de bajo volumen merecen atención
En comparación con búsquedas de procesos más amplias, tres eventos son un número reducido. Eso hace que la revisión manual sea práctica y valga la pena.
Cada evento debe tratarse como una pista y no como un incidente automático. PsExec y WMI pueden ser herramientas de gestión legítimas, mientras que los comandos de volcado de credenciales suelen requerir una justificación más sólida.
Flujo de investigación
Revise:
línea de comandos exacta;
usuario iniciador;
proceso padre;
destino remoto, si existe;
equipos de origen y de destino;
eventos de autenticación;
hashes de archivos;
alertas de productos de seguridad.
Si aparece un acceso a LSASS o una exportación de una colmena del registro tras actividad de explotación sospechosa, el evento debe escalarse rápidamente.
Oportunidades de correlación
El acceso a credenciales es especialmente significativo cuando sigue a:
explotación del navegador;
RCE del lado del servidor;
escalada de privilegios a SYSTEM.
evasión de defensas.
Asimismo, el uso de PsExec o WMI poco después de un volcado de credenciales puede indicar un movimiento hacia sistemas adicionales.
Ajuste
El uso administrativo aprobado de PsExec o WMI debe documentarse utilizando cuentas, sistemas e infraestructura de gestión conocidos.
Evite excluir globalmente estas herramientas, ya que su uso fuera del patrón aprobado sigue siendo valioso.
Valor operativo
Esta detección combina varios comportamientos de postexplotación de alto valor en una búsqueda compacta.
Dado que la fuente registró solo tres coincidencias, puede ofrecer una cola de revisión manejable y una buena oportunidad para identificar el robo de credenciales o la ejecución remota no autorizada.
