Osoba zagrażająca wyłączył zabezpieczenia Microsoft Defender, zabiła narzędzia rejestrujące, usunęła zaporę sieciową aplikacji internetowej i osłabiła zabezpieczenia poświadczeń systemu Windows przed użyciem narzędzi związanych z Mimikatz w wyniku niedawnego naruszenia bezpieczeństwa serwera.
Zdarzenie szczegółowo opisane w AAnaliza łowczyniopublikowany 29 czerwca 2026 r. rozpoczął się 7 czerwca od podejrzanej aktywności wyliczeniowej na zaatakowanym serwerze internetowym. Aktywność pochodzi z w3wp.exe, procesu roboczego IIS zwykle używanego do obsługi żądań internetowych.
Później śledczy znaleźli steganograficzną powłokę internetową ASPX ukrytą w katalogu przeznaczonym na obrazy. Osoba atakująca powróciła po niepełnym naprawieniu problemu, odbudowała dostęp, a następnie podjęła znacznie szersze wysiłki, aby oślepić obrońców przed kradzieżą danych uwierzytelniających.
Napastnicy próbowali najpierw oślepić zespoły bezpieczeństwa
Najważniejszą częścią ataku była kolejność operacji. Osoba atakująca nie przeszła od razu do zrzucania danych uwierzytelniających. Najpierw próbowali złamać systemy rejestrujące, wykrywające lub blokujące następny etap.
MITER ATT&CK klasyfikuje ten rodzaj działalności w ramachWyłącz lub zmodyfikuj narzędzia, technika osłabiania obrony, polegająca na manipulacji programami antywirusowymi, agentami rejestrującymi, narzędziami EDR, czujnikami lub plikami konfiguracyjnymi w celu zmniejszenia widoczności.
Huntress twierdzi, że osoba atakująca pozostawiła plik wsadowy o nazwie i.bat, który ujawnił przepływ pracy związany z naruszeniem zabezpieczeń. Skrypt dotyczył rejestrowania IIS, Microsoft Defender, Sysmon, Filebeat, narzędzi bezpieczeństwa punktów końcowych, ustawień WDigest, ModSecurity i dzienników zdarzeń Windows.
| Scena | Co się stało | Dlaczego to miało znaczenie |
|---|---|---|
| Wstępny dostęp | Na podatnym na ataki serwerze internetowym pojawiła się powłoka internetowa | Dało to atakującemu możliwość uruchamiania poleceń za pośrednictwem usług IIS |
| Rekonesans | Osoba atakująca podała szczegółowe dane dotyczące użytkowników, oprogramowania i systemu | Pomogło zidentyfikować konta, narzędzia i możliwe ścieżki rozwoju |
| Upośledzenie obrony | Celem ataków były Defender, Sysmon, Filebeat, ochrona WAF i dzienniki zdarzeń | Ograniczyło to monitorowanie i utrudniło zbadanie późniejszych działań |
| Dostęp poświadczeń | Wykorzystano komponenty związane z Mimikatz i narzędzia do zrzucania poświadczeń | Stwarzało to ryzyko kradzieży hasła, skrótu i konta |
| Posprzątać | Pliki, klucze rejestru i dzienniki zdarzeń zostały usunięte | Próbowała usunąć dowody kryminalistyczne |
Celem ataków były Defender, Sysmon i Filebeat
Osoba atakująca wykorzystała narzędzia i skrypty do zarządzania systemem Windows, aby osłabić ustawienia programu Microsoft Defender. Microsoft twierdzi, żeUstaw-MpPreferencepolecenie cmdlet konfiguruje preferencje skanowania i aktualizacji usługi Defender, w tym wykluczenia i inne ustawienia zabezpieczeń.
Scenariusz również był ukierunkowanySysmon, narzędzie firmy Microsoft do monitorowania systemu, które rejestruje tworzenie procesów, połączenia sieciowe, ładowanie sterowników, zmiany sygnatur czasowych plików i inne działania w dzienniku zdarzeń systemu Windows.
Zabijając lub usuwając narzędzia takie jak Sysmon i Filebeat, osoba atakująca zmniejszyła ryzyko, że obrońcy zobaczą później działanie polegające na zrzucaniu i czyszczeniu danych uwierzytelniających. Ten sam skrypt był również ukierunkowany na produkty zabezpieczające i usługi monitorowania kilku dostawców.
- Wyłączone lub osłabione zabezpieczenia Microsoft Defender
- Utworzono wykluczenia Defendera dla ścieżek i typów plików kontrolowanych przez atakującego
- Zabite procesy Sysmon i Filebeat
- Zatrzymano lub usunięto usługi rejestrowania i bezpieczeństwa
- Wykorzystano ustawienia debugera do zamrożenia wybranych narzędzi
- Wyczyszczono dzienniki zdarzeń zabezpieczeń, systemu, aplikacji i konfiguracji
Osoba atakująca usunęła ochronę WAF z usług IIS
Kampania była również skierowana do ModSecurity w IIS. OWASP opisujezapora sieciowa aplikacji internetowychjako warstwa ochronna dla aplikacji HTTP, która wykorzystuje reguły pomagające wykrywać lub blokować ataki, takie jak wstrzykiwanie SQL i skrypty między witrynami.
Według Huntress atakujący wyliczył witryny IIS i katalogi wirtualne przed odinstalowaniem modułu ModSecurity IIS. To narażało serwer na większe ataki internetowe, zwłaszcza jeśli podstawowa aplikacja nie została w pełni załatana.
Ma to znaczenie, ponieważ kompromis powłoki internetowej często powoduje więcej niż jeden problem. Usunięcie WAF-a może ułatwić ponowne trafienie podatnego serwera, podczas gdy obrońcy wciąż próbują zaradzić pierwszemu wtargnięciu.
Obniżenie wersji WDigest zwiększa ryzyko kradzieży danych uwierzytelniających
Po wyłączeniu zabezpieczeń osoba atakująca osłabiła ochronę poświadczeń systemu Windows, modyfikując zachowanie WDigest. MicrosoftuWskazówki WDigestwyjaśnia, że wartość rejestru UseLogonCredential kontroluje, czy WDigest przechowuje poświadczenia w pamięci.
Ta zmiana przygotowała grunt pod dumping danych uwierzytelniających. MITER śledzi tę aktywność jakoZrzucanie poświadczeń systemu operacyjnego, w których przeciwnicy próbują uzyskać loginy do kont, skróty lub hasła w postaci zwykłego tekstu z pamięci systemu operacyjnego, pamięci podręcznej lub innych magazynów danych uwierzytelniających.
Osoba atakująca wyodrębniła również z rejestru dane uwierzytelniające związane z ODBC i użyła narzędzi, które zapisywały skradzione dane w plikach wyjściowych. Huntress stwierdziła, że zanim napastnik podjął próbę usunięcia dowodów, działanie dotyczyło sterownika jądra Mimikatz.
| Ukierunkowana kontrola | Rola w środowisku | Ryzyko w przypadku upośledzenia |
|---|---|---|
| Obrońca Microsoftu | Zapobieganie i wykrywanie złośliwego oprogramowania na punktach końcowych | Złośliwe skrypty i narzędzia mogą działać z mniejszą liczbą alertów |
| Sysmon | Szczegółowa telemetria systemu Windows i rejestrowanie zdarzeń | Aktywność procesów, sieci i plików staje się trudniejsza do śledzenia |
| Bicie pliku | Przesyłanie logów do platform analitycznych | Scentralizowana widoczność może zostać zerwana podczas ataku |
| ModSecurity WAF | Filtrowanie ataków HTTP dla aplikacji internetowych | Aplikacje internetowe są bardziej narażone na typowe wzorce ataków |
| WDigest | Zachowanie uwierzytelniania systemu Windows | Błędna konfiguracja może zwiększyć ryzyko ujawnienia poświadczeń w postaci zwykłego tekstu |
Webshell ukrył się w katalogu obrazów
Pierwszy podejrzany plik, UA4fp7R.aspx, pojawił się w głównym katalogu obrazów WWW. Huntress stwierdziła, że plik wykorzystywał steganografię, co umożliwiało pojawienie się ładunku w postaci obrazu, a jednocześnie zawierał wykonywalną zawartość powłoki internetowej.
W raporcie wskazano również ciąg znaczników ONEPIECE osadzony w powiązanych powłokach internetowych. Znacznik ten może pomóc obrońcom zidentyfikować powiązane pliki podczas przeszukiwania serwerów internetowych, kopii zapasowych i dzienników monitorowania integralności plików.
Osoba atakująca powróciła więcej niż raz po rozpoczęciu reakcji. Pokazało to, dlaczego zespoły reagujące na incydenty powinny unikać ponownego łączenia lub przywracania podatnego serwera przed łataniem, zabezpieczaniem, analizą kryminalistyczną i zakończeniem wzmacniania.
Wskaźniki kompromisu
Poniższe wskaźniki pochodzą zWskaźniki łowczyniopublikowane wraz z raportem o zdarzeniu. Zespoły ds. bezpieczeństwa powinny przeszukiwać punkty końcowe, katalogi główne sieci, dane telemetryczne EDR, platformy dzienników i kopie zapasowe pod kątem pasujących artefaktów.
| Typ | Wskaźnik | Opis |
|---|---|---|
| SHA-256 | bd74a00f4d2ec3bf50d13ddf324bb368b2464d547abd0c572ef5e2f77943a920 | Webshell steganograficzny, UA4fp7R.aspx |
| SHA-256 | 40859ede262098086962ab00c89f02452aa9941c88c7f4ac002db166179980c6 | Webshell steganograficzny, 03Fl3i.aspx |
| SHA-256 | f63d293e117cae1d0a6c24359fc1361a9dc48178049cc6491051b09268c8c39c | Webshell steganograficzny, WRBYTR5750images.aspx i MRBTPS5754images.aspx |
| SHA-256 | 94cd18f3f030fcc9b259dc410b17ea72a1f9800ee654f8e0f07a87bb9443b593 | Plik wsadowy dotyczący uchylania się od obrony i wyliczania, i.bat |
| SHA-256 | 793768ce4fadab044c7502ea5ec4d8e1569283f289dfd73419e119f32d56d0f3 | Powłoka internetowa PHP, jT1Ds.php |
| SHA-256 | f0ff36ecdc843351913dbfbd9122b62563894936ff64215a7a2f89181ebdb57f | Powłoka internetowa, RG0eQV6.php |
| Smyczkowy | JEDEN CZĘŚĆ | Ciąg znaczników znaleziony w powiązanych powłokach internetowych |
Jak organizacje mogą zmniejszyć ryzyko
Zespoły ds. bezpieczeństwa powinny traktować naruszenie bezpieczeństwa jako główny sygnał ostrzegawczy. Gdy osoba atakująca wyłączy narzędzia rejestrujące lub zabezpieczające, incydent mógł już wykraczać poza zwykłe działanie powłoki internetowej.
Zespoły powinny monitorować podejrzane zmiany wPreferencje programu Microsoft Defender, nieoczekiwane zatrzymania usług, usunięte agenty rejestrujące, nietypowe ustawienia debugera i wyczyszczone dzienniki zdarzeń. Zmiany te często pojawiają się przed kradzieżą danych uwierzytelniających, oprogramowaniem ransomware lub przemieszczeniem bocznym.
Organizacje powinny także przechowywać i przekazywać dzienniki poza zainfekowany host. Lokalny dziennik zdarzeń systemu Windows może szybko zniknąć, jeśli osoba atakująca uzyska dostęp na poziomie administratora.
- Szybkie łatanie aplikacji internetowych i serwerów dostępnych w Internecie
- Trzymaj serwery publiczne za zaporą sieciową lub VPN, gdy bezpośredni dostęp nie jest wymagany
- Prześlij dzienniki systemu Windows, usług IIS i zabezpieczeń do osobnego systemu
- MonitorKolekcja zdarzeń Sysmonw przypadku przerw lub nagłych przestojów
- Alert dotyczący aktywności zmapowanej doUKOSIENIE I CK T1685
- ZweryfikowaćMagazyn danych uwierzytelniających WDigestpozostaje wyłączony tam, gdzie jest to wymagane
- Przejrzyj wykrycia dlaATUT&CK T1003zachowanie polegające na zrzucaniu poświadczeń
- Utrzymaj przetestowanyPolityka WAF-udla odsłoniętych aplikacji internetowych
Dlaczego to wydarzenie ma znaczenie
Atak ten pokazuje, jak kradzież danych uwierzytelniających często zależy od wcześniejszych luk w widoczności. Uwagę przykuł etap Mimikatz, ale ważniejszą historią była próba najpierw przez atakującego rozbicia obrony.
Sprawa uwydatnia również częsty błąd w odpowiedzi. Przywrócenie serwera do trybu online przed zakończeniem działań naprawczych może dać tej samej osobie atakującej kolejną szansę na kontynuowanie operacji.
Dla obrońców lekcja jest bezpośrednia. Nie szukaj tylko narzędzi do przesyłania poświadczeń. Poszukaj ciszy, którą tworzą napastnicy, zanim pojawią się te narzędzia.
Często zadawane pytania
Co hakerzy wyłączyli przed użyciem Mimikatz?
Celem atakujących były usługi Microsoft Defender, Sysmon, Filebeat, narzędzia zabezpieczające punkty końcowe, rejestrowanie IIS, ochrona WAF ModSecurity i dzienniki zdarzeń systemu Windows, a następnie użycie narzędzi do zrzucania poświadczeń związanych z Mimikatz.
Jak rozpoczął się atak?
Incydent rozpoczął się od podejrzanej aktywności wyliczeniowej na zaatakowanym serwerze internetowym. Śledczy znaleźli steganograficzną powłokę internetową ASPX ukrytą w katalogu obrazów na serwerze.
Dlaczego wyłączenie Sysmona jest niebezpieczne podczas ataku?
Sysmon rejestruje ważną aktywność systemu Windows, w tym tworzenie procesów, połączenia sieciowe, ładowanie sterowników i zmiany sygnatur czasowych plików. Jeśli atakujący to zatrzymają, obrońcy stracą przydatne dane kryminalistyczne i detekcyjne.
Jaką rolę odegrał WDigest w próbie zrzucenia danych uwierzytelniających?
Osoba atakująca zmodyfikowała ustawienia związane z WDigest, aby zwiększyć ryzyko przechowywania danych uwierzytelniających w pamięci. Może to sprawić, że zrzucanie poświadczeń będzie bardziej przydatne dla atakujących, jeśli uzyskają wystarczające uprawnienia.
W jaki sposób organizacje mogą wcześniej wykryć podobne ataki?
Organizacje powinny monitorować zatrzymanie usług bezpieczeństwa, zmiany preferencji usługi Defender, wyczyszczone dzienniki zdarzeń, nieoczekiwane pliki powłoki internetowej, usunięcie WAF, zmiany WDigest i luki w dziennikach przesyłanych z serwerów krytycznych.