Une fois qu'un attaquant obtient une exécution sur un système Windows, l'accès aux identifiants et les mouvements latéraux peuvent devenir les objectifs suivants. La surveillance des comportements bien connus d’extraction d’identifiants et d'exécution à distance peut aider à identifier cette transition.

La source définit une seule recherche de création de processus qui combine des indicateurs de ligne de commande et des noms d'exécutables connus.

Indicateurs d'accès aux identifiants

La requête recherche des chaînes associées à :

• sekurlsa ;

• lsadump ;

• comsvcs.dll MiniDump ;

• ProcDump ciblant LSASS ;

• exportation de SAM et SYSTEM depuis le registre.

Elle vérifie également l’exécution de mimikatz.exe.

Indicateurs de mouvement latéral

La même requête inclut :

• PsExec;

• PAExec;

• WMI /node ;

• création de Win32_Process.

Ils peuvent servir à une administration légitime, mais constituent aussi des comportements importants de mouvement latéral lorsqu'ils apparaissent de manière inattendue.

Requête de détection

data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))

La source a enregistré trois événements correspondants au cours des 30 derniers jours.

Pourquoi les résultats à faible volume méritent l'attention

Comparés à des recherches de processus plus larges, trois événements représentent un petit nombre. Une revue manuelle est donc réalisable et utile.

Chaque événement doit être traité comme une piste plutôt que comme un incident automatique. PsExec et WMI peuvent être des outils de gestion légitimes, alors que les commandes d’extraction d’identifiants nécessitent généralement une justification plus solide.

Processus d'investigation

Examinez :

• ligne de commande exacte ;

• utilisateur à l'origine de l'action ;

• processus parent ;

• cible distante, le cas échéant ;

• hôtes source et de destination ;

• événements d'authentification ;

• hashes de fichiers ;

• alertes des produits de sécurité.

Si un accès à LSASS ou une exportation de ruche de registre apparaît après une activité d'exploitation suspecte, l'événement doit être escaladé rapidement.

Possibilités de corrélation

L'accès aux identifiants est particulièrement significatif lorsqu'il fait suite à :

• exploitation du navigateur ;

• RCE côté serveur ;

• élévation de privilèges vers SYSTEM.

• évasion des défenses.

De même, l'utilisation de PsExec ou de WMI peu après une extraction d'identifiants peut indiquer un déplacement vers d'autres systèmes.

Réglage

L'utilisation administrative approuvée de PsExec ou de WMI doit être documentée à l'aide de comptes, de systèmes et d'une infrastructure de gestion connus.

Évitez d'exclure globalement ces outils, car leur utilisation en dehors du schéma approuvé reste précieuse.

Valeur opérationnelle

Cette détection combine plusieurs comportements de post-exploitation à forte valeur au sein d'une recherche compacte.

Comme la source n'a enregistré que trois correspondances, elle peut fournir une file de revue gérable et une bonne occasion d'identifier un vol d'identifiants ou une exécution à distance non autorisée.