Odată ce un atacator obține execuție pe un sistem Windows, accesul la credențiale și mișcarea laterală pot deveni următoarele obiective. Monitorizarea comportamentelor binecunoscute de extragere a credențialelor și de execuție la distanță poate ajuta la identificarea acestei tranziții.
Sursa definește o singură vânătoare bazată pe crearea de procese, care combină indicatorii din linia de comandă cu numele de executabile cunoscute.
Indicatori de acces la credențiale
Interogarea caută șiruri asociate cu:
sekurlsa;lsadump;MiniDump prin
comsvcs.dll;ProcDump care vizează LSASS;
exportul din registry al SAM și SYSTEM.
De asemenea, verifică execuția mimikatz.exe.
Indicatori de mișcare laterală
Aceeași interogare include:
PsExec;
PAExec;
WMI
/node;crearea
Win32_Process.
Acestea pot fi utilizate pentru administrare legitimă, dar reprezintă și comportamente importante de mișcare laterală atunci când apar în mod neașteptat.
Interogarea de detecție
data.win.system.eventID:1 and (data.win.eventdata.commandLine:(*sekurlsa* or *lsadump* or *comsvcs.dll*MiniDump* or *procdump*lsass* or *reg*save*HKLM\SAM* or *reg*save*HKLM\SYSTEM* or *psexec* or *wmic*/node* or *Win32_Process*Create*) or data.win.eventdata.image:(*\mimikatz.exe or *\psexec.exe or *\paexec.exe))
Sursa a înregistrat trei evenimente potrivite în ultimele 30 de zile.
De ce rezultatele cu volum redus merită atenție
Comparativ cu vânătorile de procese mai ample, trei evenimente reprezintă un număr mic. Acest lucru face ca revizuirea manuală să fie practică și utilă.
Fiecare eveniment ar trebui tratat ca un indiciu, nu ca un incident automat. PsExec și WMI pot fi instrumente de management legitime, în timp ce comenzile de extragere a credențialelor necesită, în general, o justificare mai solidă.
Fluxul de investigare
Analizați:
linia de comandă exactă;
utilizatorul care a inițiat activitatea;
procesul părinte;
ținta la distanță, dacă există;
gazdele sursă și destinație;
evenimentele de autentificare;
hash-urile fișierelor;
alertele produsului de securitate.
Dacă accesul la LSASS sau exportul unui hive din registry apare după o activitate suspectă de exploatare, evenimentul ar trebui escaladat rapid.
Oportunități de corelare
Accesul la credențiale este deosebit de semnificativ atunci când urmează după:
exploatarea browserului;
RCE pe partea de server;
escaladarea privilegiilor la nivel SYSTEM;
evaziunea apărării.
În mod similar, utilizarea PsExec sau WMI la scurt timp după extragerea credențialelor poate indica deplasarea către sisteme suplimentare.
Reglare
Utilizarea administrativă aprobată a PsExec sau WMI ar trebui documentată folosind conturi, sisteme și infrastructură de management cunoscute.
Evitați excluderea globală a acestor instrumente, deoarece utilizarea lor în afara tiparului aprobat rămâne valoroasă.
Valoare operațională
Această detecție combină mai multe comportamente valoroase de post-exploatare într-o vânătoare compactă.
Deoarece sursa a înregistrat doar trei potriviri, aceasta poate oferi o coadă de revizuire gestionabilă și o oportunitate solidă de a identifica furtul de credențiale sau execuția la distanță neautorizată.
