Penggodam Melumpuhkan Defender, Sysmon dan WAF Sebelum Menggunakan Mimikatz untuk Membuang Bukti Kelayakan

Seorang pelaku ancaman melumpuhkan perlindungan Microsoft Defender, mematikan alat pembalakan, mengalih keluar tembok api aplikasi web dan melemahkan perlindungan kelayakan Windows sebelum menggunakan perkakas berkaitan Mimikatz dalam kompromi pelayan baru-baru ini.

Kejadian itu, diperincikan dalam aAnalisis pemburuditerbitkan pada 29 Jun 2026, bermula pada 7 Jun dengan aktiviti penghitungan yang mencurigakan pada pelayan web yang terjejas. Aktiviti yang dihasilkan daripada w3wp.exe, proses pekerja IIS yang biasanya digunakan untuk mengendalikan permintaan web.

Penyiasat kemudiannya menemui cangkerang web ASPX steganografi tersembunyi dalam direktori yang dimaksudkan untuk imej. Penyerang kembali selepas pemulihan yang tidak lengkap, akses yang dibina semula, dan kemudian melancarkan usaha yang lebih luas untuk membutakan pembela sebelum pencurian bukti kelayakan.

Penyerang cuba membutakan pasukan keselamatan terlebih dahulu

Bahagian paling penting dalam serangan itu ialah susunan operasi. Penyerang tidak segera beralih ke lambakan kelayakan. Mereka mula-mula cuba memecahkan sistem yang akan log, mengesan, atau menyekat peringkat seterusnya.

MITRE ATT&CK mengklasifikasikan jenis aktiviti ini di bawahLumpuhkan atau Ubah Suai Alat, teknik kemerosotan pertahanan yang mana musuh mengganggu antivirus, ejen pembalakan, alat EDR, penderia atau fail konfigurasi untuk mengurangkan keterlihatan.

Huntress berkata penyerang meninggalkan fail kelompok bernama i.bat, yang mendedahkan aliran kerja kerosakan pertahanan. Skrip menyasarkan pengelogan IIS, Microsoft Defender, Sysmon, Filebeat, alat keselamatan titik akhir, tetapan WDigest, ModSecurity dan log peristiwa Windows.

Defender, Sysmon dan Filebeat disasarkan

Penyerang menggunakan alat dan skrip pengurusan Windows untuk melemahkan tetapan Microsoft Defender. Microsoft berkataSet-MpPreferencecmdlet mengkonfigurasi pilihan imbasan dan kemas kini Defender, termasuk pengecualian dan tetapan keselamatan lain.

Skrip juga disasarkanSysmon, alat pemantauan sistem Microsoft yang merekodkan penciptaan proses, sambungan rangkaian, pemuatan pemacu, perubahan cap masa fail dan aktiviti lain ke Log Acara Windows.

Dengan membunuh atau mengalih keluar alatan seperti Sysmon dan Filebeat, penyerang mengurangkan kemungkinan pembela akan melihat aktiviti lambakan dan pembersihan bukti kelayakan kemudian. Skrip yang sama juga menyasarkan produk keselamatan dan perkhidmatan pemantauan daripada beberapa vendor.

• Melumpuhkan atau melemahkan perlindungan Microsoft Defender
• Pengecualian Defender yang dibuat untuk laluan dikawal penyerang dan jenis fail
• Membunuh proses Sysmon dan Filebeat
• Menghentikan atau memadamkan perkhidmatan pembalakan dan keselamatan
• Menggunakan tetapan penyahpepijat untuk membekukan alatan yang dipilih
• Dikosongkan keselamatan, sistem, aplikasi dan log peristiwa persediaan

Penyerang mengalih keluar perlindungan WAF daripada IIS

Kempen ini juga menyasarkan ModSecurity pada IIS. OWASP menerangkan afirewall aplikasi websebagai lapisan pelindung untuk aplikasi HTTP yang menggunakan peraturan untuk membantu mengesan atau menyekat serangan seperti suntikan SQL dan skrip merentas tapak.

Menurut Huntress, penyerang menyenaraikan tapak IIS dan direktori maya sebelum menyahpasang modul ModSecurity IIS. Itu menyebabkan pelayan lebih terdedah kepada serangan web susulan, terutamanya jika aplikasi asas belum ditambal sepenuhnya.

Ini penting kerana kompromi webshell selalunya menimbulkan lebih daripada satu masalah. Mengalih keluar WAF boleh menjadikan pelayan yang terdedah lebih mudah untuk dipukul semula sementara pembela masih cuba membersihkan pencerobohan pertama.

Turun taraf WDigest meningkatkan risiko kecurian kelayakan

Selepas melumpuhkan pertahanan, penyerang melemahkan perlindungan kelayakan Windows dengan mengubah suai tingkah laku WDigest. milik MicrosoftPanduan WDigestmenerangkan bahawa nilai pendaftaran UseLogonCredential mengawal sama ada WDigest menyimpan bukti kelayakan dalam ingatan.

Perubahan itu menetapkan peringkat untuk lambakan kelayakan. MITER menjejaki aktiviti ini sebagaiLambakan Kredensial OS, apabila musuh cuba mendapatkan log masuk akaun, cincang atau kata laluan teks kosong daripada memori sistem pengendalian, cache atau stor bukti kelayakan lain.

Penyerang juga mengekstrak bahan bukti kelayakan berkaitan ODBC daripada pendaftaran dan menggunakan alatan yang menulis data yang dicuri untuk mengeluarkan fail. Huntress berkata aktiviti itu melibatkan pemandu isirong Mimikatz sebelum penyerang cuba memadamkan bukti.

Webshell bersembunyi di dalam direktori imej

Fail pertama yang mencurigakan, UA4fp7R.aspx, muncul dalam direktori imej akar web. Huntress berkata fail itu menggunakan steganografi, yang membenarkan muatan muncul sebagai imej sementara masih mengandungi kandungan cangkerang web boleh laku.

Laporan itu juga menyatakan rentetan penanda, ONEPIECE, dibenamkan di seluruh kulit web yang berkaitan. Penanda itu boleh membantu pembela mengenal pasti fail berkaitan semasa carian merentas pelayan web, sandaran dan log pemantauan integriti fail.

Penyerang kembali lebih daripada sekali selepas aktiviti tindak balas bermula. Ini menunjukkan sebab pasukan tindak balas insiden harus mengelak daripada menyambung semula atau memulihkan pelayan yang terdedah sebelum menampal, membendung, semakan forensik dan kemasan pengerasan.

Petunjuk kompromi

Petunjuk berikut datang daripadaPenunjuk pemburuditerbitkan bersama laporan kejadian. Pasukan keselamatan harus mencari titik akhir, akar web, telemetri EDR, platform log dan sandaran untuk artifak yang sepadan.

Bagaimana organisasi boleh mengurangkan risiko

Pasukan keselamatan harus menganggap kemerosotan pertahanan sebagai tanda amaran utama. Apabila penyerang melumpuhkan alat pembalakan atau keselamatan, insiden itu mungkin telah melangkaui aktiviti cangkerang web yang mudah.

Pasukan harus memantau perubahan yang mencurigakan kepadaKeutamaan Microsoft Defender, pemberhentian perkhidmatan yang tidak dijangka, ejen pengelogan dipadamkan, tetapan penyahpepijat luar biasa dan log peristiwa yang dikosongkan. Perubahan ini sering muncul sebelum pencurian kelayakan, perisian tebusan atau pergerakan sisi.

Organisasi juga harus memelihara dan memajukan log di luar hos yang terjejas. Log peristiwa Windows tempatan boleh hilang dengan cepat jika penyerang mendapat akses peringkat pentadbir.

• Tampal aplikasi web dan pelayan yang menghadap internet dengan cepat
• Simpan pelayan awam di belakang tembok api atau VPN apabila akses terus tidak diperlukan
• Majukan Windows, IIS dan log keselamatan ke sistem yang berasingan
• PantauKoleksi acara Sysmonuntuk jurang atau terhenti secara tiba-tiba
• Makluman tentang aktiviti yang dipetakan keMITER ATT&CK T1685
• SahkanStoran bukti kelayakan WDigestkekal dilumpuhkan jika perlu
• Semak pengesanan untukMITER ATT&CK T1003tingkah laku lambakan kelayakan
• Mengekalkan yang diujidasar WAFuntuk aplikasi web terdedah

Mengapa insiden ini penting

Serangan ini menunjukkan bagaimana kecurian kelayakan sering bergantung pada jurang penglihatan yang lebih awal. Peringkat Mimikatz menarik perhatian, tetapi cerita yang lebih besar ialah percubaan penyerang untuk merungkai pertahanan terlebih dahulu.

Kes itu juga menyerlahkan kesilapan tindak balas yang biasa. Membawa pelayan kembali dalam talian sebelum pemulihan selesai boleh memberi penyerang yang sama satu lagi peluang untuk meneruskan operasi.

Bagi pembela, pengajarannya adalah langsung. Jangan hanya mencari alat lambakan tauliah. Cari kesunyian yang dibuat oleh penyerang sebelum alat tersebut muncul.

Soalan Lazim