Ein Bedrohungsakteur hat den Microsoft Defender-Schutz deaktiviert, Protokollierungstools deaktiviert, eine Webanwendungs-Firewall entfernt und den Windows-Anmeldeinformationsschutz geschwächt, bevor er Mimikatz-bezogene Tools bei einer kürzlich erfolgten Serverkompromittierung eingesetzt hat.
Der Vorfall, detailliert in aHuntress-Analyseveröffentlicht am 29. Juni 2026, begann am 7. Juni mit verdächtigen Aufzählungsaktivitäten auf einem kompromittierten Webserver. Die Aktivität wurde von w3wp.exe erzeugt, dem IIS-Arbeitsprozess, der normalerweise zur Verarbeitung von Webanfragen verwendet wird.
Später fanden die Ermittler eine steganografische ASPX-Webshell, die in einem für Bilder vorgesehenen Verzeichnis versteckt war. Der Angreifer kehrte nach unvollständiger Behebung zurück, stellte den Zugriff wieder her und startete dann einen viel umfassenderen Versuch, die Verteidiger vor dem Diebstahl der Anmeldedaten zu blenden.
Angreifer versuchten zunächst, Sicherheitsteams zu blenden
Der wichtigste Teil des Angriffs war die Reihenfolge der Operationen. Der Angreifer ging nicht sofort zum Dumping der Anmeldedaten über. Sie versuchten zunächst, die Systeme zu brechen, die die nächste Stufe protokollieren, erkennen oder blockieren würden.
MITRE ATT&CK klassifiziert diese Art von Aktivität unterDeaktivieren oder ändern Sie Tools, eine Technik zur Beeinträchtigung der Verteidigung, bei der Angreifer Antivirenprogramme, Protokollierungsagenten, EDR-Tools, Sensoren oder Konfigurationsdateien manipulieren, um die Sichtbarkeit zu verringern.
Huntress sagte, der Angreifer habe eine Batch-Datei namens i.bat hinterlassen, die den Arbeitsablauf zur Beeinträchtigung der Verteidigung offenlegte. Das Skript zielte auf IIS-Protokollierung, Microsoft Defender, Sysmon, Filebeat, Endpoint-Sicherheitstools, WDigest-Einstellungen, ModSecurity und Windows-Ereignisprotokolle ab.
| Bühne | Was ist passiert | Warum es wichtig war |
|---|---|---|
| Erster Zugriff | Auf einem anfälligen Webserver ist eine Webshell aufgetaucht | Es gab dem Angreifer die Möglichkeit, Befehle über IIS auszuführen |
| Aufklärung | Der Angreifer zählte Benutzer, Software und Systemdetails auf | Es half dabei, Konten, Tools und mögliche Expansionspfade zu identifizieren |
| Beeinträchtigung der Verteidigung | Ziel waren Defender, Sysmon, Filebeat, WAF-Schutz und Ereignisprotokolle | Dies reduzierte die Überwachung und erschwerte die Untersuchung späterer Aktivitäten |
| Zugang zu Anmeldeinformationen | Es wurden Mimikatz-bezogene Komponenten und Credential-Dumping-Tools verwendet | Es bestand die Gefahr von Passwort-, Hash- und Kontodiebstahl |
| Aufräumen | Dateien, Registrierungsschlüssel und Ereignisprotokolle wurden gelöscht | Es wurde versucht, forensische Beweise zu entfernen |
Defender, Sysmon und Filebeat wurden ins Visier genommen
Der Angreifer nutzte Windows-Verwaltungstools und -Skripte, um die Microsoft Defender-Einstellungen zu schwächen. Microsoft sagt dasSet-MpPreferenceDas Cmdlet konfiguriert die Scan- und Aktualisierungseinstellungen von Defender, einschließlich Ausschlüssen und anderen Sicherheitseinstellungen.
Das Skript zielte auch darauf abSysmon, das Systemüberwachungstool von Microsoft, das die Prozesserstellung, Netzwerkverbindungen, das Laden von Treibern, Dateizeitstempeländerungen und andere Aktivitäten im Windows-Ereignisprotokoll aufzeichnet.
Durch das Töten oder Entfernen von Tools wie Sysmon und Filebeat verringerte der Angreifer die Wahrscheinlichkeit, dass Verteidiger später Anmeldedaten-Dumping- und Bereinigungsaktivitäten bemerken. Das gleiche Skript zielte auch auf Sicherheitsprodukte und Überwachungsdienste verschiedener Anbieter ab.
- Deaktivierter oder geschwächter Microsoft Defender-Schutz
- Defender-Ausschlüsse für vom Angreifer kontrollierte Pfade und Dateitypen erstellt
- Sysmon- und Filebeat-Prozesse wurden beendet
- Protokollierungs- und Sicherheitsdienste gestoppt oder gelöscht
- Debugger-Einstellungen wurden verwendet, um ausgewählte Tools einzufrieren
- Sicherheits-, System-, Anwendungs- und Setup-Ereignisprotokolle gelöscht
Der Angreifer hat den WAF-Schutz von IIS entfernt
Die Kampagne zielte auch auf ModSecurity auf IIS ab. OWASP beschreibt aWebanwendungs-Firewallals Schutzschicht für HTTP-Anwendungen, die mithilfe von Regeln Angriffe wie SQL-Injection und Cross-Site-Scripting erkennt oder blockiert.
Laut Huntress zählte der Angreifer IIS-Sites und virtuelle Verzeichnisse auf, bevor er das ModSecurity IIS-Modul deinstallierte. Dadurch war der Server anfälliger für nachfolgende Webangriffe, insbesondere wenn die zugrunde liegende Anwendung nicht vollständig gepatcht wurde.
Dies ist wichtig, da eine Webshell-Kompromittierung oft mehr als ein Problem verursacht. Das Entfernen der WAF kann es einfacher machen, einen anfälligen Server erneut zu treffen, während die Verteidiger noch versuchen, den ersten Einbruch zu beseitigen.
Die Herabstufung von WDigest erhöhte das Risiko des Diebstahls von Anmeldedaten
Nach der Deaktivierung der Abwehrmaßnahmen schwächte der Angreifer den Schutz der Windows-Anmeldeinformationen, indem er das WDigest-Verhalten änderte. MicrosoftsWDigest-Anleitungerklärt, dass der Registrierungswert UseLogonCredential steuert, ob WDigest Anmeldeinformationen im Speicher speichert.
Diese Änderung bereitete den Weg für das Dumping von Anmeldeinformationen. MITRE verfolgt diese Aktivität alsDumping von OS-AnmeldeinformationenDabei versuchen Angreifer, Kontoanmeldungen, Hashes oder Klartextkennwörter aus dem Betriebssystemspeicher, Caches oder anderen Anmeldeinformationsspeichern abzurufen.
Der Angreifer extrahierte außerdem ODBC-bezogenes Anmeldeinformationsmaterial aus der Registrierung und verwendete Tools, die gestohlene Daten in Ausgabedateien schrieben. Huntress sagte, dass an der Aktivität ein Mimikatz-Kerneltreiber beteiligt war, bevor der Angreifer versuchte, Beweise zu löschen.
| Gezielte Kontrolle | Rolle in der Umwelt | Risiko bei Beeinträchtigung |
|---|---|---|
| Microsoft Defender | Prävention und Erkennung von Endpoint-Malware | Schädliche Skripte und Tools werden möglicherweise mit weniger Warnungen ausgeführt |
| Sysmon | Detaillierte Windows-Telemetrie und Ereignisprotokollierung | Prozess-, Netzwerk- und Dateiaktivitäten lassen sich schwerer nachverfolgen |
| Filebeat | Protokollweiterleitung an Analyseplattformen | Während des Angriffs kann die zentrale Sichtbarkeit unterbrochen werden |
| ModSecurity WAF | HTTP-Angriffsfilterung für Webanwendungen | Webanwendungen sind häufiger häufigen Angriffsmustern ausgesetzt |
| WDigest | Windows-Authentifizierungsverhalten | Eine Fehlkonfiguration kann die Wahrscheinlichkeit erhöhen, dass Anmeldeinformationen im Klartext offengelegt werden |
Webshell versteckte sich in einem Bildverzeichnis
Die erste verdächtige Datei, UA4fp7R.aspx, erschien in einem Web-Root-Image-Verzeichnis. Laut Huntress verwendete die Datei Steganographie, wodurch die Nutzlast als Bild angezeigt werden konnte, während sie dennoch ausführbaren Webshell-Inhalt enthielt.
Der Bericht erwähnte auch eine Markierungszeichenfolge, ONEPIECE, die in verwandten Webshells eingebettet war. Dieser Marker kann Verteidigern helfen, verwandte Dateien bei der Suche auf Webservern, Backups und Dateiintegritätsüberwachungsprotokollen zu identifizieren.
Der Angreifer kehrte mehr als einmal zurück, nachdem die Reaktionsaktivität begonnen hatte. Dies zeigte, warum Incident-Response-Teams es vermeiden sollten, einen anfälligen Server erneut zu verbinden oder wiederherzustellen, bevor Patch, Eindämmung, forensische Überprüfung und Härtung abgeschlossen sind.
Indikatoren für einen Kompromiss
Die folgenden Indikatoren stammen aus derJägerin-Indikatorenmit dem Vorfallbericht veröffentlicht. Sicherheitsteams sollten Endpunkte, Web-Roots, EDR-Telemetrie, Protokollplattformen und Backups nach passenden Artefakten durchsuchen.
| Typ | Indikator | Beschreibung |
|---|---|---|
| SHA-256 | bd74a00f4d2ec3bf50d13ddf324bb368b2464d547abd0c572ef5e2f77943a920 | Steganografische Webshell, UA4fp7R.aspx |
| SHA-256 | 40859ede262098086962ab00c89f02452aa9941c88c7f4ac002db166179980c6 | Steganografische Webshell, 03Fl3i.aspx |
| SHA-256 | f63d293e117cae1d0a6c24359fc1361a9dc48178049cc6491051b09268c8c39c | Steganografische Webshell, WRBYTR5750images.aspx und MRBTPS5754images.aspx |
| SHA-256 | 94cd18f3f030fcc9b259dc410b17ea72a1f9800ee654f8e0f07a87bb9443b593 | Batchdatei zur Verteidigungsumgehung und Aufzählung, i.bat |
| SHA-256 | 793768ce4fadab044c7502ea5ec4d8e1569283f289dfd73419e119f32d56d0f3 | PHP-Webshell, jT1Ds.php |
| SHA-256 | f0ff36ecdc843351913dbfbd9122b62563894936ff64215a7a2f89181ebdb57f | Webshell, RG0eQV6.php |
| Zeichenfolge | EIN STÜCK | Markierungszeichenfolge in verwandten Webshells gefunden |
Wie Organisationen das Risiko reduzieren können
Sicherheitsteams sollten eine Beeinträchtigung der Verteidigung als wichtiges Warnzeichen betrachten. Wenn ein Angreifer die Protokollierung oder Sicherheitstools deaktiviert, geht der Vorfall möglicherweise bereits über eine einfache Webshell-Aktivität hinaus.
Teams sollten verdächtige Änderungen überwachenMicrosoft Defender-Einstellungen, unerwartete Dienststopps, gelöschte Protokollierungsagenten, ungewöhnliche Debugger-Einstellungen und gelöschte Ereignisprotokolle. Diese Änderungen treten häufig vor Anmeldedatendiebstahl, Ransomware oder Lateral Movement auf.
Organisationen sollten Protokolle auch außerhalb des gefährdeten Hosts aufbewahren und weiterleiten. Ein lokales Windows-Ereignisprotokoll kann schnell verschwinden, wenn der Angreifer Zugriff auf Administratorebene erhält.
- Patchen Sie schnell mit dem Internet verbundene Webanwendungen und Server
- Halten Sie öffentliche Server hinter einer Firewall oder einem VPN, wenn kein direkter Zugriff erforderlich ist
- Leiten Sie Windows-, IIS- und Sicherheitsprotokolle an ein separates System weiter
- MonitorSysmon-Ereignissammlungfür Lücken oder plötzliche Unterbrechungen
- Benachrichtigung über Aktivität, der zugeordnet istMITRE ATT&CK T1685
- VerifizierenWDigest-Anmeldeinformationsspeicherbleibt bei Bedarf deaktiviert
- Überprüfen Sie die Erkennungen aufMITRE ATT&CK T1003Verhalten beim Dumping von Anmeldeinformationen
- Behalten Sie eine getestete beiWAF-Richtliniefür exponierte Webanwendungen
Warum dieser Vorfall wichtig ist
Dieser Angriff zeigt, dass der Diebstahl von Anmeldedaten häufig auf früheren Sichtbarkeitslücken beruht. Die Mimikatz-Phase erregte Aufmerksamkeit, aber die größere Geschichte war der Versuch des Angreifers, zuerst die Verteidigung abzubauen.
Der Fall zeigt auch einen häufigen Antwortfehler auf. Wenn ein Server vor Abschluss der Behebung wieder online geschaltet wird, kann dies demselben Angreifer eine weitere Chance geben, den Vorgang fortzusetzen.
Für Verteidiger ist die Lektion direkt. Suchen Sie nicht nur nach Tools zum Dumping von Anmeldeinformationen. Achten Sie auf die Stille, die Angreifer erzeugen, bevor diese Tools auftauchen.
FAQ
Was haben die Hacker vor der Nutzung von Mimikatz deaktiviert?
Die Angreifer zielten auf Microsoft Defender, Sysmon, Filebeat, Endpoint-Sicherheitstools, IIS-Protokollierung, ModSecurity WAF-Schutz und Windows-Ereignisprotokolle ab, bevor sie Mimikatz-bezogene Tools zum Dumping von Anmeldeinformationen verwendeten.
Wie begann der Angriff?
Der Vorfall begann mit verdächtigen Aufzählungsaktivitäten auf einem kompromittierten Webserver. Die Ermittler fanden eine steganografische ASPX-Webshell, die in einem Bildverzeichnis auf dem Server versteckt war.
Warum ist die Deaktivierung von Sysmon während eines Angriffs gefährlich?
Sysmon zeichnet wichtige Windows-Aktivitäten auf, einschließlich Prozesserstellung, Netzwerkverbindungen, Laden von Treibern und Änderungen des Dateizeitstempels. Wenn Angreifer es stoppen, verlieren die Verteidiger nützliche forensische und Erkennungsdaten.
Welche Rolle spielte WDigest bei dem Versuch, Anmeldeinformationen zu löschen?
Der Angreifer hat WDigest-bezogene Einstellungen geändert, um das Risiko zu erhöhen, dass Anmeldeinformationen im Speicher gespeichert werden. Dies kann das Dumping von Anmeldeinformationen für Angreifer nützlicher machen, wenn sie über ausreichende Berechtigungen verfügen.
Wie können Unternehmen ähnliche Angriffe früher erkennen?
Unternehmen sollten auf gestoppte Sicherheitsdienste, Änderungen der Defender-Einstellungen, gelöschte Ereignisprotokolle, unerwartete Webshell-Dateien, WAF-Entfernung, WDigest-Änderungen und Lücken in weitergeleiteten Protokollen von kritischen Servern achten.