Įsilaužėliai išjungė „Defender“, „Sysmon“ ir „WAF“ prieš naudodami „Mimikatz“ kredencialams ištrinti

Grėsmių veikėjas išjungė „Microsoft Defender“ apsaugą, nužudė registravimo įrankius, pašalino žiniatinklio programos užkardą ir susilpnino „Windows“ kredencialų apsaugą, prieš naudodamas su Mimikatz susijusius įrankius neseniai įvykus serverio kompromisui.

Įvykis, detalizuotas aMedžiotojo analizėpaskelbta 2026 m. birželio 29 d., prasidėjo birželio 7 d. su įtartina surašymo veikla pažeistame žiniatinklio serveryje. Veikla atsirado iš w3wp.exe, IIS darbuotojo proceso, paprastai naudojamo žiniatinklio užklausoms apdoroti.

Vėliau tyrėjai rado steganografinį ASPX žiniatinklio apvalkalą, paslėptą vaizdams skirtame kataloge. Užpuolikas grįžo po nebaigto ištaisymo, atstatė prieigą ir ėmėsi daug platesnių pastangų apakinti gynėjus prieš kredencialų vagystę.

Užpuolikai pirmiausia bandė apakinti apsaugos komandas

Svarbiausia puolimo dalis buvo operacijų tvarka. Užpuolikas ne iš karto persikėlė į įgaliojimų dempingą. Pirmiausia jie bandė sulaužyti sistemas, kurios registruotų, aptiktų arba blokuotų kitą etapą.

MITER ATT&CK šią veiklos rūšį priskiria prieIšjungti arba modifikuoti įrankius, gynybos pablogėjimo metodas, kai priešininkai pažeidžia antivirusines programas, registravimo priemones, EDR įrankius, jutiklius ar konfigūracijos failus, kad sumažintų matomumą.

Huntress sakė, kad užpuolikas paliko paketinį failą pavadinimu i.bat, kuris atskleidė gynybos sutrikimo darbo eigą. Scenarijus buvo skirtas IIS registravimui, „Microsoft Defender“, „Sysmon“, „Filebeat“, galutinio taško saugos įrankiams, „WDigest“ parametrams, „ModSecurity“ ir „Windows“ įvykių žurnalams.

Buvo nukreipti į „Defender“, „Sysmon“ ir „Filebeat“.

Užpuolikas naudojo „Windows“ valdymo įrankius ir scenarijus, kad susilpnintų „Microsoft Defender“ nustatymus. „Microsoft“ teigiaSet-MpPreferencecmdlet konfigūruoja Defender nuskaitymo ir naujinimo nuostatas, įskaitant išskyrimus ir kitus saugos parametrus.

Scenarijus taip pat buvo skirtasSysmon, „Microsoft“ sistemos stebėjimo įrankis, įrašantis proceso kūrimą, tinklo ryšius, tvarkyklių įkėlimą, failų laiko žymos pakeitimus ir kitą veiklą „Windows“ įvykių žurnale.

Nužudęs arba pašalinęs tokius įrankius kaip „Sysmon“ ir „Filebeat“, užpuolikas sumažino tikimybę, kad gynėjai vėliau pamatys kredencialų išmetimą ir valymo veiklą. Tas pats scenarijus taip pat buvo skirtas kelių pardavėjų saugos produktams ir stebėjimo paslaugoms.

• Išjungta arba susilpninta „Microsoft Defender“ apsauga
• Sukūrė „Defender“ išskyrimus užpuoliko valdomiems keliams ir failų tipams
• Žuvo Sysmon ir Filebeat procesai
• Sustabdytos arba ištrintos registravimo ir saugos paslaugos
• Naudoti derinimo nustatymai, kad sustabdytų pasirinktus įrankius
• Išvalyti saugos, sistemos, programų ir sąrankos įvykių žurnalai

Užpuolikas pašalino WAF apsaugą iš IIS

Kampanija taip pat buvo skirta ModSecurity IIS. OWASP aprašo ažiniatinklio programų ugniasienėkaip apsauginį HTTP programų sluoksnį, kuris naudoja taisykles, padedančias aptikti arba blokuoti atakas, pvz., SQL įterpimą ir scenarijus tarp svetainių.

Pasak Huntress, užpuolikas prieš pašalindamas ModSecurity IIS modulį surašė IIS svetaines ir virtualius katalogus. Dėl to serveris buvo labiau apsaugotas nuo tolesnių žiniatinklio atakų, ypač jei pagrindinė programa nebuvo visiškai pataisyta.

Tai svarbu, nes žiniatinklio apvalkalo kompromisas dažnai sukelia daugiau nei vieną problemą. Pašalinus WAF, pažeidžiamas serveris gali būti lengviau pataikyti dar kartą, kol gynėjai vis dar bando išvalyti pirmąjį įsibrovimą.

WDigest sumažinimas padidino kredencialų vagystės riziką

Išjungęs apsaugą, užpuolikas susilpnino „Windows“ kredencialų apsaugą, pakeisdamas WDigest elgseną. „Microsoft“.WDigest vadovaspaaiškina, kad UseLogonCredential registro reikšmė valdo, ar WDigest saugo kredencialus atmintyje.

Šis pakeitimas sukūrė pagrindą kredencialų dempingui. MITER seka šią veiklą kaipOS kredencialų išmetimas, kur priešai bando gauti paskyros prisijungimo duomenis, maišą arba išvalyti tekstinius slaptažodžius iš operacinės sistemos atminties, talpyklų ar kitų kredencialų saugyklų.

Užpuolikas taip pat iš registro ištraukė su ODBC susijusią kredencialų medžiagą ir naudojo įrankius, kurie įrašydavo pavogtus duomenis į išvesties failus. Huntress teigė, kad veikla buvo susijusi su Mimikatz branduolio tvarkykle, kol užpuolikas bandė ištrinti įrodymus.

Webshell pasislėpė vaizdų kataloge

Pirmasis įtartinas failas UA4fp7R.aspx pasirodė žiniatinklio šakninio vaizdo kataloge. Huntress teigė, kad faile buvo naudojama steganografija, kuri leido naudingą apkrovą rodyti kaip vaizdą, o jame vis dar buvo vykdomas žiniatinklio apvalkalo turinys.

Ataskaitoje taip pat pažymėta žymeklio eilutė ONEPIECE, įterpta į susijusius žiniatinklio apvalkalus. Šis žymeklis gali padėti gynėjams identifikuoti susijusius failus atliekant paieškas žiniatinklio serveriuose, atsarginėse kopijose ir failų vientisumo stebėjimo žurnaluose.

Prasidėjus reagavimo veiklai, užpuolikas grįžo ne kartą. Tai parodė, kodėl reagavimo į incidentus komandos turėtų vengti pakartotinio prisijungimo ar pažeidžiamo serverio atkūrimo prieš pataisydamos, apribodamos, atlikdamos teismo ekspertizę ir nesutvarkydamos.

Kompromiso rodikliai

Šie rodikliai gaunami išMedžiotojos rodikliaipaskelbtas kartu su įvykio ataskaita. Saugos komandos turėtų ieškoti galutinių taškų, žiniatinklio šaknų, EDR telemetrijos, žurnalų platformų ir atsarginių kopijų, kad būtų galima rasti atitinkamų artefaktų.

Kaip organizacijos gali sumažinti riziką

Apsaugos komandos gynybos sutrikimus turėtų laikyti pagrindiniu įspėjamuoju ženklu. Kai užpuolikas išjungia registravimo ar saugos įrankius, incidentas jau gali būti peržengęs paprastą žiniatinklio apvalkalo veiklą.

Komandos turėtų stebėti įtartinus pakeitimus„Microsoft Defender“ nuostatos, netikėti paslaugų sustabdymai, ištrintos registravimo priemonės, neįprasti derinimo nustatymai ir išvalyti įvykių žurnalai. Šie pakeitimai dažnai atsiranda prieš kredencialų vagystę, išpirkos reikalaujančią programinę įrangą arba judėjimą į šoną.

Organizacijos taip pat turėtų saugoti ir persiųsti žurnalus už pažeisto pagrindinio kompiuterio ribų. Vietinis „Windows“ įvykių žurnalas gali greitai išnykti, jei užpuolikas gauna administratoriaus lygio prieigą.

• Greitai pataisykite į internetą nukreiptas žiniatinklio programas ir serverius
• Laikykite viešuosius serverius už ugniasienės arba VPN, kai tiesioginė prieiga nereikalinga
• Persiųskite Windows, IIS ir saugos žurnalus į atskirą sistemą
• MonitoriusSysmon įvykių kolekcijadėl spragų ar staigių sustojimų
• Įspėjimas apie veiklą, susietą suMITER ATT&CK T1685
• PatvirtintiWDigest kredencialų saugyklakur reikia, lieka neįgalus
• Peržiūrėkite aptikimusMITER ATT&CK T1003kredencialų dempingo elgesys
• Išlaikyti patikrintąWAF politikaatviroms žiniatinklio programoms

Kodėl šis įvykis svarbus

Ši ataka parodo, kaip kredencialų vagystė dažnai priklauso nuo ankstesnių matomumo spragų. Mimikatz etapas atkreipė dėmesį, tačiau didesnė istorija buvo užpuoliko bandymas pirmiausia išardyti gynybą.

Byla taip pat išryškina dažną atsakymo klaidą. Serverio prijungimas prie interneto prieš baigiant taisymą tam pačiam užpuolikui gali suteikti dar vieną galimybę tęsti operaciją.

Gynėms pamoka yra tiesioginė. Ieškokite ne tik kredencialų išmetimo įrankių. Ieškokite tylos, kurią užpuolikai sukuria prieš atsirandant tiems įrankiams.

DUK