Hackerii au dezactivat Defender, Sysmon și WAF înainte de a folosi Mimikatz pentru a descărca acreditările

Un actor de amenințări a dezactivat protecțiile Microsoft Defender, a ucis instrumentele de înregistrare, a eliminat un firewall pentru aplicații web și a slăbit protecțiile acreditărilor Windows înainte de a utiliza instrumentele legate de Mimikatz într-un compromis recent de server.

Incidentul, detaliat în aAnaliza vânătoareipublicat pe 29 iunie 2026, a început pe 7 iunie cu activitate de enumerare suspectă pe un server web compromis. Activitatea a apărut de la w3wp.exe, procesul de lucru IIS utilizat în mod normal pentru a gestiona solicitările web.

Ulterior, anchetatorii au găsit un webshell ASPX steganografic ascuns într-un director destinat imaginilor. Atacatorul s-a întors după o remediere incompletă, a reconstruit accesul și apoi a lansat un efort mult mai amplu de a-i orbi pe apărători înainte de furtul acreditărilor.

Atacatorii au încercat mai întâi să orbească echipele de securitate

Cea mai importantă parte a atacului a fost ordinea operațiunilor. Atacatorul nu a trecut imediat la eliminarea acreditărilor. Ei au încercat mai întâi să spargă sistemele care ar înregistra, detecta sau bloca etapa următoare.

MITRE ATT&CK clasifică acest tip de activitate laDezactivați sau modificați instrumentele, o tehnică de afectare a apărării în care adversarii manipulează antivirus, agenți de înregistrare, instrumente EDR, senzori sau fișiere de configurare pentru a reduce vizibilitatea.

Huntress a spus că atacatorul a lăsat în urmă un fișier batch numit i.bat, care a expus fluxul de lucru cu afectarea apărării. Scriptul a vizat înregistrarea IIS, Microsoft Defender, Sysmon, Filebeat, instrumente de securitate pentru punctele finale, setările WDigest, ModSecurity și jurnalele de evenimente Windows.

Defender, Sysmon și Filebeat au fost vizați

Atacatorul a folosit instrumente și scripturi de gestionare Windows pentru a slăbi setările Microsoft Defender. Microsoft spune căSet-MpPreferencecmdlet-ul configurează preferințele de scanare și actualizare Defender, inclusiv excluderi și alte setări de securitate.

Scenariul a vizat și elSysmon, instrumentul Microsoft de monitorizare a sistemului care înregistrează crearea proceselor, conexiunile la rețea, încărcarea driverelor, modificările marcajului de timp al fișierelor și alte activități în jurnalul de evenimente Windows.

Prin uciderea sau înlăturarea unor instrumente precum Sysmon și Filebeat, atacatorul a redus șansa ca apărătorii să vadă ulterior activități de eliminare a acreditărilor și de curățare. Același script a vizat, de asemenea, produse de securitate și servicii de monitorizare de la mai mulți furnizori.

• Protecții Microsoft Defender dezactivate sau slăbite
• S-au creat excluderi Defender pentru căile și tipurile de fișiere controlate de atacator
• S-au ucis procesele Sysmon și Filebeat
• Servicii de logare și securitate oprite sau șterse
• Am folosit setările depanatorului pentru a îngheța instrumentele selectate
• Șterge jurnalele de evenimente de securitate, sistem, aplicație și configurare

Atacatorul a eliminat protecția WAF din IIS

Campania a vizat și ModSecurity pe IIS. OWASP descrie afirewall aplicație webca strat de protecție pentru aplicațiile HTTP care utilizează reguli pentru a ajuta la detectarea sau blocarea atacurilor, cum ar fi injecția SQL și scripturile între site-uri.

Potrivit Huntress, atacatorul a enumerat site-urile IIS și directoarele virtuale înainte de a dezinstala modulul ModSecurity IIS. Acest lucru a lăsat serverul mai expus la atacuri web ulterioare, mai ales dacă aplicația de bază nu a fost complet corecţionată.

Acest lucru contează deoarece un compromis webshell creează adesea mai multe probleme. Eliminarea WAF poate face mai ușor să lovească din nou un server vulnerabil în timp ce apărătorii încă încearcă să curețe prima intruziune.

WDigest downgrade a crescut riscul de furt de acreditări

După dezactivarea apărării, atacatorul a slăbit protecția acreditărilor Windows prin modificarea comportamentului WDigest. ale MicrosoftWDigest îndrumăriexplică faptul că valoarea de registry UseLogonCredential controlează dacă WDigest stochează acreditările în memorie.

Această schimbare a pregătit scena pentru dumpingul de acreditări. MITRE urmărește această activitate caDumping de acreditări ale sistemului de operare, unde adversarii încearcă să obțină date de conectare la cont, hash-uri sau parole cu text clar din memoria sistemului de operare, cache-uri sau alte depozite de acreditări.

Atacatorul a extras, de asemenea, materiale de acreditări legate de ODBC din registru și a folosit instrumente care au scris date furate în fișierele de ieșire. Huntress a spus că activitatea a implicat un driver de kernel Mimikatz înainte ca atacatorul să încerce să șteargă dovezile.

Webshell s-a ascuns într-un director de imagini

Primul fișier suspect, UA4fp7R.aspx, a apărut într-un director de imagini rădăcină web. Huntress a spus că fișierul folosea steganografia, ceea ce a permis ca sarcina utilă să apară ca o imagine, în timp ce încă conține conținut webshell executabil.

Raportul a notat, de asemenea, un șir de marker, ONEPIECE, încorporat în webshell-uri aferente. Acest marcator poate ajuta apărătorii să identifice fișierele asociate în timpul căutărilor pe serverele web, backup-urilor și jurnalele de monitorizare a integrității fișierelor.

Atacatorul a revenit de mai multe ori după ce a început activitatea de răspuns. Acest lucru a arătat de ce echipele de răspuns la incidente ar trebui să evite reconectarea sau restaurarea unui server vulnerabil înainte de corecție, izolare, examinare criminalistică și finalizare de întărire.

Indicatori de compromis

Următorii indicatori provin dinIndicatori de vânătoarepublicat împreună cu raportul de incident. Echipele de securitate ar trebui să caute puncte finale, rădăcini web, telemetrie EDR, platforme de jurnal și copii de rezervă pentru artefacte potrivite.

Cum pot organizațiile să reducă riscul

Echipele de securitate ar trebui să trateze afectarea apărării ca pe un semn de avertizare major. Când un atacator dezactivează instrumentele de înregistrare sau de securitate, este posibil ca incidentul să fi trecut deja dincolo de simpla activitate webshell.

Echipele ar trebui să monitorizeze modificările suspecte alePreferințele Microsoft Defender, opriri neașteptate ale serviciului, agenți de înregistrare șterși, setări neobișnuite ale depanatorului și jurnalele de evenimente șterse. Aceste modificări apar adesea înainte de furtul de acreditări, ransomware sau deplasarea laterală.

Organizațiile ar trebui, de asemenea, să păstreze și să trimită jurnalele în afara gazdei compromise. Un jurnal local de evenimente Windows poate dispărea rapid dacă atacatorul obține acces la nivel de administrator.

• Corectați rapid aplicațiile web și serverele orientate spre internet
• Păstrați serverele publice în spatele unui firewall sau VPN atunci când accesul direct nu este necesar
• Redirecționați jurnalele Windows, IIS și de securitate către un sistem separat
• MonitorizațiColecția de evenimente Sysmonpentru goluri sau opriri bruște
• Alertă privind activitatea mapată cătreMITRE ATT&CK T1685
• VerificaStocarea acreditărilor WDigestrămâne dezactivat acolo unde este necesar
• Examinați detecțiile pentruMITRE ATT&CK T1003comportamentul de dumping de acreditări
• Menține un testatPolitica WAFpentru aplicații web expuse

De ce contează acest incident

Acest atac arată cum furtul de acreditări depinde adesea de lacunele de vizibilitate anterioare. Etapa Mimikatz a atras atenția, dar povestea mai mare a fost încercarea atacatorului de a demonta mai întâi apărarea.

Cazul evidențiază, de asemenea, o greșeală comună de răspuns. Readucerea online a unui server înainte de finalizarea remedierii poate oferi aceluiași atacator o altă șansă de a continua operațiunea.

Pentru fundași, lecția este directă. Nu căutați doar instrumente de descărcare a acreditărilor. Căutați tăcerea pe care o creează atacatorii înainte ca acele instrumente să apară.

FAQ