Una volta che un attaccante ottiene l'esecuzione su un sistema Windows, l'accesso alle credenziali e il movimento laterale possono diventare i successivi obiettivi. Monitorare comportamenti noti di estrazione delle credenziali e di esecuzione remota può aiutare a individuare questa transizione.

La fonte definisce un'unica ricerca sulla creazione di processi che combina indicatori della riga di comando con nomi di eseguibili noti.

Indicatori di accesso alle credenziali

La query cerca stringhe associate a:

• sekurlsa;

• lsadump;

• comsvcs.dll MiniDump;

• ProcDump rivolto a LSASS;

• esportazione di SAM e SYSTEM dal registro.

Verifica inoltre l’esecuzione di mimikatz.exe.

Indicatori di movimento laterale

La stessa query include:

• PsExec;

• PAExec;

• WMI /node;

• creazione di Win32_Process.

Possono essere usati per un'amministrazione legittima, ma sono anche importanti comportamenti di movimento laterale quando compaiono in modo inatteso.

Query di rilevamento

data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))

La fonte ha registrato tre eventi corrispondenti nei 30 giorni precedenti.

Perché i risultati a basso volume meritano attenzione

Rispetto a ricerche sui processi più ampie, tre eventi sono un numero ridotto. Ciò rende la revisione manuale pratica e utile.

Ogni evento dovrebbe essere trattato come una pista e non come un incidente automatico. PsExec e WMI possono essere strumenti di gestione legittimi, mentre i comandi di estrazione delle credenziali richiedono in genere una giustificazione più solida.

Flusso di indagine

Verifichi:

• riga di comando esatta;

• utente che ha avviato l'azione;

• processo padre;

• destinazione remota, se presente;

• host di origine e di destinazione;

• eventi di autenticazione;

• hash dei file;

• alert dei prodotti di sicurezza.

Se compare un accesso a LSASS o un'esportazione di un hive del registro dopo un'attività di sfruttamento sospetta, l'evento deve essere segnalato con urgenza.

Opportunità di correlazione

L'accesso alle credenziali è particolarmente significativo quando segue:

• sfruttamento del browser;

• RCE lato server;

• elevazione dei privilegi a SYSTEM.

• evasione delle difese.

Allo stesso modo, l'uso di PsExec o WMI poco dopo un'estrazione delle credenziali può indicare uno spostamento verso ulteriori sistemi.

Ottimizzazione

L'uso amministrativo approvato di PsExec o WMI dovrebbe essere documentato utilizzando account, sistemi e infrastruttura di gestione noti.

Eviti di escludere globalmente questi strumenti, perché il loro uso al di fuori dello schema approvato resta prezioso.

Valore operativo

Questo rilevamento combina diversi comportamenti di post-sfruttamento di alto valore in un'unica ricerca compatta.

Poiché la fonte ha registrato solo tre corrispondenze, può offrire una coda di revisione gestibile e una buona opportunità per individuare furti di credenziali o esecuzioni remote non autorizzate.