Hackeři deaktivovali Defender, Sysmon a WAF před použitím Mimikatz k výpisu přihlašovacích údajů

Před použitím nástrojů souvisejících s Mimikatz při nedávném kompromitování serveru aktér hrozeb deaktivoval ochranu Microsoft Defender, zabil protokolovací nástroje, odstranil bránu firewall webových aplikací a oslabil ochranu pověření Windows.

Incident podrobně popsaný v aAnalýza lovkynězveřejněné 29. června 2026, začalo 7. června podezřelou aktivitou výčtu na kompromitovaném webovém serveru. Aktivita vznikla z w3wp.exe, pracovního procesu IIS, který se běžně používá ke zpracování webových požadavků.

Vyšetřovatelé později našli steganografickou webovou schránku ASPX ukrytou v adresáři určeném pro obrázky. Útočník se vrátil po nedokončené nápravě, přestavěl přístup a poté zahájil mnohem širší úsilí o oslepení obránců před krádeží pověření.

Útočníci se nejprve pokusili oslepit bezpečnostní týmy

Nejdůležitější částí útoku bylo pořadí operací. Útočník okamžitě nepřešel k dumpingu pověření. Nejprve se pokusili rozbít systémy, které by zaznamenávaly, detekovaly nebo blokovaly další fázi.

MITRE ATT&CK řadí tento typ činnosti podZakázat nebo upravit nástroje, technika oslabení obrany, kdy protivníci manipulují s antivirem, protokolovacími agenty, nástroji EDR, senzory nebo konfiguračními soubory, aby snížili viditelnost.

Huntress uvedla, že útočník po sobě zanechal dávkový soubor s názvem i.bat, který odhalil pracovní postup narušení obrany. Skript se zaměřoval na protokolování IIS, Microsoft Defender, Sysmon, Filebeat, nástroje zabezpečení koncových bodů, nastavení WDigest, ModSecurity a protokoly událostí Windows.

Cílem byly Defender, Sysmon a Filebeat

Útočník použil nástroje a skripty pro správu Windows k oslabení nastavení programu Microsoft Defender. Microsoft říkáSet-MpPreferencecmdlet konfiguruje předvolby skenování a aktualizace Defenderu, včetně výjimek a dalších nastavení zabezpečení.

Scénář také cílilSysmon, nástroj pro monitorování systému společnosti Microsoft, který zaznamenává vytváření procesů, síťová připojení, načítání ovladačů, změny časových razítek souborů a další aktivity do protokolu událostí systému Windows.

Zabitím nebo odstraněním nástrojů, jako jsou Sysmon a Filebeat, útočník snížil šanci, že obránci uvidí pozdější vyhazování pověření a čištění. Stejný skript se také zaměřoval na bezpečnostní produkty a monitorovací služby od několika dodavatelů.

• Vypnuté nebo oslabené ochrany Microsoft Defender
• Vytvořené výjimky Defender pro cesty a typy souborů kontrolované útočníkem
• Zabité procesy Sysmon a Filebeat
• Zastaveno nebo odstraněno protokolování a bezpečnostní služby
• Použilo nastavení debuggeru k zmrazení vybraných nástrojů
• Vymazáno protokoly událostí zabezpečení, systému, aplikací a nastavení

Útočník odstranil ochranu WAF ze služby IIS

Kampaň se také zaměřila na ModSecurity na IIS. OWASP popisuje afirewall webových aplikacíjako ochranná vrstva pro aplikace HTTP, která pomocí pravidel pomáhá detekovat nebo blokovat útoky, jako je SQL injection a cross-site scripting.

Podle Huntress útočník před odinstalováním modulu ModSecurity IIS provedl výčet webů a virtuálních adresářů IIS. To způsobilo, že server byl více vystaven následným webovým útokům, zejména pokud základní aplikace nebyla plně opravena.

To je důležité, protože kompromis webshell často vytváří více než jeden problém. Odstranění WAF může usnadnit opětovné zasažení zranitelného serveru, zatímco se obránci stále snaží vyčistit první narušení.

Downgrade WDigest zvýšil riziko krádeže pověření

Po deaktivaci obrany útočník oslabil ochranu pověření Windows úpravou chování WDigest. společnosti MicrosoftPrůvodce WDigestvysvětluje, že hodnota registru UseLogonCredential řídí, zda WDigest ukládá pověření do paměti.

Tato změna připravila půdu pro dumping na pověření. MITER sleduje tuto aktivitu jakoDumping pověření OS, kde se protivníci pokoušejí získat přihlašovací údaje k účtu, hodnoty hash nebo hesla s čistým textem z paměti operačního systému, mezipaměti nebo jiných úložišť pověření.

Útočník také vytáhl z registru pověřovací materiál související s ODBC a použil nástroje, které zapisovaly ukradená data do výstupních souborů. Huntress uvedla, že aktivita zahrnovala ovladač jádra Mimikatz předtím, než se útočník pokusil smazat důkazy.

Webshell se schoval do adresáře s obrázky

První podezřelý soubor, UA4fp7R.aspx, se objevil v kořenovém adresáři s obrázky webu. Huntress uvedla, že soubor používal steganografii, která umožňovala, aby se užitečné zatížení objevilo jako obrázek, zatímco stále obsahovalo spustitelný obsah webového shellu.

Zpráva také zaznamenala řetězec značky, ONEPIECE, vložený do souvisejících webových stránek. Tato značka může obráncům pomoci identifikovat související soubory během vyhledávání na webových serverech, zálohách a protokolech monitorování integrity souborů.

Útočník se po zahájení aktivity odezvy vrátil více než jednou. To ukázalo, proč by se týmy reakce na incidenty měly vyhnout opětovnému připojení nebo obnově zranitelného serveru před dokončením opravy, zadržování, forenzní kontroly a zpevnění.

Indikátory kompromisu

Následující ukazatele pocházejí zIndikátory lovkynězveřejněno se zprávou o incidentu. Bezpečnostní týmy by měly hledat odpovídající artefakty v koncových bodech, webových kořenových adresářích, EDR telemetrii, logovacích platformách a zálohách.

Jak mohou organizace snížit riziko

Bezpečnostní týmy by měly narušení obrany považovat za hlavní varovný signál. Když útočník zakáže protokolování nebo nástroje zabezpečení, incident se již mohl přesunout nad rámec pouhé aktivity webového prostředí.

Týmy by měly sledovat podezřelé změnyPředvolby programu Microsoft Defender, neočekávané zastavení služby, smazaní agenti protokolování, neobvyklá nastavení ladicího programu a vymazané protokoly událostí. Tyto změny se často objevují před krádeží pověření, ransomwarem nebo bočním pohybem.

Organizace by také měly uchovávat a předávat protokoly mimo kompromitovaného hostitele. Místní protokol událostí systému Windows může rychle zmizet, pokud útočník získá přístup na úrovni správce.

• Opravte rychle internetové aplikace a servery
• Udržujte veřejné servery za firewallem nebo VPN, když není vyžadován přímý přístup
• Předat protokoly Windows, IIS a zabezpečení do samostatného systému
• MonitorKolekce událostí sysmonpro mezery nebo náhlá zastavení
• Upozornění na aktivitu mapovanou kMITRE ATT&CK T1685
• OvěřteÚložiště pověření WDigestv případě potřeby zůstane deaktivován
• Zkontrolujte zjištění proMITRE ATT&CK T1003chování dumpingu pověření
• Udržujte testovanýZásady WAFpro exponované webové aplikace

Proč na tomto incidentu záleží

Tento útok ukazuje, jak krádež pověření často závisí na dřívějších mezerách ve viditelnosti. Stádium Mimikatz přitáhlo pozornost, ale větší příběh byl útočníkův pokus nejprve rozebrat obranu.

Případ také poukazuje na běžnou chybu v reakci. Převedení serveru zpět do stavu online před dokončením nápravy může poskytnout stejnému útočníkovi další šanci pokračovat v operaci.

Pro obránce je poučení přímé. Nehledejte pouze nástroje pro ukládání pověření. Hledejte ticho, které útočníci vytvářejí, než se tyto nástroje objeví.

FAQ