Un autore di minacce ha disattivato le protezioni di Microsoft Defender, disattivato gli strumenti di registrazione, rimosso un firewall per applicazioni Web e indebolito le protezioni delle credenziali di Windows prima di utilizzare gli strumenti correlati a Mimikatz in una recente compromissione del server.
L'incidente, dettagliato in aAnalisi della cacciatricepubblicato il 29 giugno 2026, è iniziato il 7 giugno con un'attività di enumerazione sospetta su un server Web compromesso. L'attività è stata generata da w3wp.exe, il processo di lavoro IIS normalmente utilizzato per gestire le richieste web.
Gli investigatori hanno successivamente trovato una webshell ASPX steganografica nascosta in una directory destinata alle immagini. L'aggressore è tornato dopo una riparazione incompleta, ha ricostruito l'accesso e ha quindi lanciato un'iniziativa molto più ampia per accecare i difensori prima del furto di credenziali.
Gli aggressori hanno prima cercato di accecare le squadre di sicurezza
La parte più importante dell'attacco era l'ordine delle operazioni. L'aggressore non è passato immediatamente al dumping delle credenziali. Per prima cosa hanno provato a violare i sistemi che avrebbero registrato, rilevato o bloccato la fase successiva.
MITRE ATT&CK classifica questo tipo di attività inDisabilita o modifica gli strumenti, una tecnica di compromissione della difesa in cui gli avversari manomettono antivirus, agenti di registrazione, strumenti EDR, sensori o file di configurazione per ridurre la visibilità.
Huntress ha affermato che l'aggressore ha lasciato un file batch denominato i.bat, che esponeva il flusso di lavoro di compromissione della difesa. Lo script prendeva di mira la registrazione IIS, Microsoft Defender, Sysmon, Filebeat, gli strumenti di sicurezza degli endpoint, le impostazioni WDigest, ModSecurity e i registri eventi di Windows.
| Palcoscenico | Quello che è successo | Perché era importante |
|---|---|---|
| Accesso iniziale | Una webshell è apparsa su un server web vulnerabile | Ha fornito all'aggressore la possibilità di eseguire comandi tramite IIS |
| Ricognizione | L'aggressore ha elencato utenti, software e dettagli di sistema | Ha aiutato a identificare account, strumenti e possibili percorsi di espansione |
| Compromissione della difesa | Sono stati presi di mira Defender, Sysmon, Filebeat, protezione WAF e registri eventi | Ha ridotto il monitoraggio e ha reso più difficile indagare sulle attività successive |
| Accesso con credenziali | Sono stati utilizzati componenti relativi a Mimikatz e strumenti di dumping delle credenziali | Creava il rischio di furto di password, hash e account |
| Ripulire | File, chiavi di registro e registri eventi sono stati eliminati | Ha tentato di rimuovere prove forensi |
Sono stati presi di mira Defender, Sysmon e Filebeat
L'aggressore ha utilizzato gli strumenti di gestione e gli script di Windows per indebolire le impostazioni di Microsoft Defender. Microsoft dice cheImposta-MpPreferenceil cmdlet configura le preferenze di scansione e aggiornamento di Defender, incluse esclusioni e altre impostazioni di sicurezza.
Anche la sceneggiatura prendeva di miraSysmon, lo strumento di monitoraggio del sistema di Microsoft che registra la creazione di processi, le connessioni di rete, il caricamento dei driver, le modifiche al timestamp dei file e altre attività nel registro eventi di Windows.
Uccidendo o rimuovendo strumenti come Sysmon e Filebeat, l'aggressore ha ridotto la possibilità che i difensori vedessero in seguito attività di dumping e pulizia delle credenziali. Lo stesso script ha preso di mira anche prodotti di sicurezza e servizi di monitoraggio di diversi fornitori.
- Protezioni Microsoft Defender disabilitate o indebolite
- Create esclusioni di Defender per percorsi e tipi di file controllati dall'aggressore
- Processi Sysmon e Filebeat uccisi
- Servizi di registrazione e sicurezza interrotti o eliminati
- Utilizzate le impostazioni del debugger per bloccare gli strumenti selezionati
- Cancellati i registri eventi di sicurezza, sistema, applicazione e configurazione
L'autore dell'attacco ha rimosso la protezione WAF da IIS
La campagna ha preso di mira anche ModSecurity su IIS. OWASP descrive afirewall dell'applicazione Webcome livello protettivo per le applicazioni HTTP che utilizza regole per rilevare o bloccare attacchi come SQL injection e cross-site scripting.
Secondo Huntress, l'aggressore ha enumerato i siti IIS e le directory virtuali prima di disinstallare il modulo ModSecurity IIS. Ciò lasciava il server più esposto ad attacchi web successivi, soprattutto se l’applicazione sottostante non era stata completamente patchata.
Questo è importante perché una compromissione della webshell spesso crea più di un problema. La rimozione del WAF può rendere più facile colpire nuovamente un server vulnerabile mentre i difensori stanno ancora cercando di ripulire la prima intrusione.
Il downgrade di WDigest ha aumentato il rischio di furto di credenziali
Dopo aver disabilitato le difese, l'aggressore ha indebolito le protezioni delle credenziali di Windows modificando il comportamento di WDigest. Quello di MicrosoftGuida WDigestspiega che il valore del registro UseLogonCredential controlla se WDigest archivia le credenziali in memoria.
Questo cambiamento ha posto le basi per il dumping delle credenziali. MITRE tiene traccia di questa attività comeDumping delle credenziali del sistema operativo, in cui gli hacker tentano di ottenere accessi agli account, hash o password in testo non crittografato dalla memoria del sistema operativo, dalle cache o da altri archivi di credenziali.
L'aggressore ha inoltre estratto materiale relativo alle credenziali ODBC dal registro e ha utilizzato strumenti che scrivevano i dati rubati nei file di output. Huntress ha affermato che l'attività coinvolgeva un driver del kernel Mimikatz prima che l'aggressore tentasse di eliminare le prove.
| Controllo mirato | Ruolo nell'ambiente | Rischio in caso di compromissione |
|---|---|---|
| Microsoft Defender | Prevenzione e rilevamento del malware negli endpoint | Script e strumenti dannosi potrebbero essere eseguiti con meno avvisi |
| Sysmon | Telemetria dettagliata di Windows e registrazione degli eventi | L'attività di processi, rete e file diventa più difficile da tracciare |
| Filebeat | Inoltro dei log alle piattaforme di analisi | La visibilità centralizzata può rompersi durante l'attacco |
| ModSecurity WAF | Filtraggio degli attacchi HTTP per applicazioni web | Le applicazioni Web sono maggiormente esposte a modelli di attacco comuni |
| WDigest | Comportamento dell'autenticazione di Windows | Una configurazione errata può aumentare la possibilità di esposizione delle credenziali in testo normale |
Webshell si nascondeva all'interno di una directory di immagini
Il primo file sospetto, UA4fp7R.aspx, è apparso in una directory di immagini web root. Huntress ha affermato che il file utilizzava la steganografia, che consentiva al payload di apparire come un'immagine pur contenendo contenuto webshell eseguibile.
Il rapporto ha inoltre rilevato una stringa marcatore, ONEPIECE, incorporata nelle webshell correlate. Questo indicatore può aiutare i difensori a identificare i file correlati durante le ricerche su server Web, backup e registri di monitoraggio dell'integrità dei file.
L'aggressore è tornato più di una volta dopo l'inizio dell'attività di risposta. Ciò ha dimostrato perché i team di risposta agli incidenti dovrebbero evitare di riconnettersi o ripristinare un server vulnerabile prima del completamento dell'applicazione di patch, del contenimento, della revisione forense e del rafforzamento.
Indicatori di compromesso
I seguenti indicatori provengono daIndicatori della cacciatricepubblicato con il rapporto sull'incidente. I team di sicurezza dovrebbero cercare endpoint, root web, telemetria EDR, piattaforme di log e backup per trovare artefatti corrispondenti.
| Tipo | Indicatore | Descrizione |
|---|---|---|
| SHA-256 | bd74a00f4d2ec3bf50d13ddf324bb368b2464d547abd0c572ef5e2f77943a920 | Webshell steganografica, UA4fp7R.aspx |
| SHA-256 | 40859ede262098086962ab00c89f02452aa9941c88c7f4ac002db166179980c6 | Webshell steganografica, 03Fl3i.aspx |
| SHA-256 | f63d293e117cae1d0a6c24359fc1361a9dc48178049cc6491051b09268c8c39c | Webshell steganografica, WRBYTR5750images.aspx e MRBTPS5754images.aspx |
| SHA-256 | 94cd18f3f030fcc9b259dc410b17ea72a1f9800ee654f8e0f07a87bb9443b593 | File batch di evasione ed enumerazione della difesa, i.bat |
| SHA-256 | 793768ce4fadab044c7502ea5ec4d8e1569283f289dfd73419e119f32d56d0f3 | Webshell PHP, jT1Ds.php |
| SHA-256 | f0ff36ecdc843351913dbfbd9122b62563894936ff64215a7a2f89181ebdb57f | Webshell, RG0eQV6.php |
| Corda | PEZZO UNICO | Stringa di marcatore trovata nelle webshell correlate |
Come le organizzazioni possono ridurre il rischio
I team di sicurezza dovrebbero considerare il deterioramento della difesa come un importante segnale di allarme. Quando un utente malintenzionato disabilita la registrazione o gli strumenti di sicurezza, l'incidente potrebbe essere già andato oltre la semplice attività della webshell.
I team dovrebbero monitorare le modifiche sospette aPreferenze di Microsoft Defender, interruzioni impreviste del servizio, agenti di registrazione eliminati, impostazioni insolite del debugger e registri eventi cancellati. Questi cambiamenti spesso compaiono prima del furto di credenziali, del ransomware o dello spostamento laterale.
Le organizzazioni dovrebbero inoltre conservare e inoltrare i registri all'esterno dell'host compromesso. Un registro eventi locale di Windows può scomparire rapidamente se l'autore dell'attacco ottiene l'accesso a livello di amministratore.
- Applicare rapidamente patch ad applicazioni Web e server collegati a Internet
- Mantieni i server pubblici dietro un firewall o una VPN quando non è richiesto l'accesso diretto
- Inoltrare Windows, IIS e i registri di sicurezza a un sistema separato
- MonitorareRaccolta eventi Sysmonper lacune o interruzioni improvvise
- Avviso sull'attività mappataMITRA ATT&CK T1685
- VerificareArchiviazione credenziali WDigestrimane disabilitato ove richiesto
- Esamina i rilevamenti perMITRA ATT&CK T1003comportamento di dumping delle credenziali
- Mantenere un testatoPolitica WAFper applicazioni web esposte
Perché questo incidente è importante
Questo attacco dimostra come il furto di credenziali spesso dipenda da lacune di visibilità precedenti. La fase di Mimikatz ha attirato l’attenzione, ma la storia più importante è stata il tentativo dell’attaccante di smantellare prima le difese.
Il caso evidenzia anche un errore comune nella risposta. Riportare un server online prima del termine della riparazione può offrire allo stesso utente malintenzionato un'altra possibilità di continuare l'operazione.
Per i difensori la lezione è diretta. Non cercare solo strumenti di dumping delle credenziali. Cerca il silenzio creato dagli aggressori prima che appaiano questi strumenti.
Domande frequenti
Cosa hanno disabilitato gli hacker prima di utilizzare Mimikatz?
Gli aggressori hanno preso di mira Microsoft Defender, Sysmon, Filebeat, strumenti di sicurezza degli endpoint, registrazione IIS, protezione WAF ModSecurity e registri eventi di Windows prima di utilizzare strumenti di dumping delle credenziali correlati a Mimikatz.
Come è iniziato l'attacco?
L'incidente è iniziato con un'attività di enumerazione sospetta su un server Web compromesso. Gli investigatori hanno trovato una webshell ASPX steganografica nascosta in una directory di immagini sul server.
Perché disabilitare Sysmon è pericoloso durante un attacco?
Sysmon registra importanti attività di Windows, tra cui la creazione di processi, le connessioni di rete, il caricamento dei driver e le modifiche al timestamp dei file. Se gli aggressori lo fermano, i difensori perdono utili dati forensi e di rilevamento.
Che ruolo ha avuto WDigest nel tentativo di dumping delle credenziali?
L'aggressore ha modificato le impostazioni relative a WDigest per aumentare il rischio che le credenziali vengano archiviate in memoria. Ciò può rendere il dumping delle credenziali più utile per gli aggressori se ottengono privilegi sufficienti.
Come possono le organizzazioni rilevare attacchi simili in anticipo?
Le organizzazioni dovrebbero monitorare i servizi di sicurezza interrotti, le modifiche alle preferenze di Defender, i registri eventi cancellati, i file webshell imprevisti, la rimozione di WAF, le modifiche WDigest e le lacune nei registri inoltrati dai server critici.