Zodra een aanvaller code kan uitvoeren op een Windows-systeem, kunnen toegang tot inloggegevens en laterale beweging de volgende doelen worden. Het monitoren van bekend gedrag voor het dumpen van inloggegevens en uitvoering op afstand kan helpen deze overgang te identificeren.
De bron definieert één enkele zoekactie op procesaanmaak die opdrachtregelindicatoren combineert met bekende namen van uitvoerbare bestanden.
Indicatoren voor toegang tot inloggegevens
De zoekopdracht zoekt naar tekenreeksen die verband houden met:
sekurlsa;lsadump;comsvcs.dllMiniDump;ProcDump gericht op LSASS;
register-export van SAM en SYSTEM.
Ook wordt gecontroleerd op de uitvoering van mimikatz.exe.
Indicatoren voor laterale beweging
Dezelfde zoekopdracht bevat:
PsExec;
PAExec;
WMI
/node;aanmaak van
Win32_Process.
Deze kunnen worden gebruikt voor legitiem beheer, maar zijn ook belangrijk gedrag van laterale beweging wanneer ze onverwacht optreden.
Detectiequery
data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))
De bron registreerde drie overeenkomende gebeurtenissen in de afgelopen 30 dagen.
Waarom resultaten met laag volume aandacht verdienen
Vergeleken met bredere proceszoekacties zijn drie gebeurtenissen een klein aantal. Dat maakt handmatige beoordeling praktisch en de moeite waard.
Elke gebeurtenis moet worden behandeld als een aanwijzing en niet als een automatisch incident. PsExec en WMI kunnen legitieme beheerhulpmiddelen zijn, terwijl opdrachten voor het uitlezen van inloggegevens doorgaans een sterkere rechtvaardiging vereisen.
Onderzoeksworkflow
Controleer:
exacte opdrachtregel;
initiërende gebruiker;
bovenliggend proces;
extern doelwit, indien aanwezig;
bron- en doelhosts;
authenticatiegebeurtenissen;
bestandshashes;
waarschuwingen van beveiligingsproducten.
Als LSASS-toegang of export van een registerhive optreedt na verdachte exploitatieactiviteit, moet de gebeurtenis snel worden geëscaleerd.
Correlatiemogelijkheden
Toegang tot inloggegevens is vooral betekenisvol wanneer het volgt op:
browserexploitatie;
serverzijdige RCE;
rechtenescalatie naar SYSTEM.
omzeiling van beveiligingsmaatregelen.
Evenzo kan het gebruik van PsExec of WMI kort na het dumpen van inloggegevens wijzen op beweging naar aanvullende systemen.
Afstemming
Goedgekeurd beheergebruik van PsExec of WMI moet worden gedocumenteerd aan de hand van bekende accounts, systemen en beheerinfrastructuur.
Vermijd het globaal uitsluiten van deze hulpmiddelen, omdat hun gebruik buiten het goedgekeurde patroon waardevol blijft.
Operationele waarde
Deze detectie combineert meerdere waardevolle post-exploitatiegedragingen in één compacte zoekactie.
Omdat de bron slechts drie treffers registreerde, kan deze een beheersbare beoordelingswachtrij bieden en een goede kans om diefstal van inloggegevens of ongeautoriseerde uitvoering op afstand te identificeren.
