Bir tehdit aktörü, yakın zamanda meydana gelen bir sunucu güvenliği ihlalinde Mimikatz ile ilgili araçları kullanmadan önce Microsoft Defender korumalarını devre dışı bıraktı, günlük tutma araçlarını sonlandırdı, bir web uygulaması güvenlik duvarını kaldırdı ve Windows kimlik bilgisi korumalarını zayıflattı.
Olay, ayrıntılı olarakAvcı analizi29 Haziran 2026'da yayınlanan saldırı, 7 Haziran'da ele geçirilen bir web sunucusunda şüpheli numaralandırma etkinliğiyle başladı. Etkinlik, normalde web isteklerini işlemek için kullanılan IIS çalışan işlemi olan w3wp.exe'den oluşturuldu.
Müfettişler daha sonra görüntülere yönelik bir dizinde gizlenmiş bir steganografik ASPX web kabuğu buldular. Saldırgan, eksik düzeltmelerin ardından geri döndü, erişimi yeniden oluşturdu ve ardından kimlik bilgileri hırsızlığı öncesinde savunucuları kör etmek için çok daha geniş bir çaba başlattı.
Saldırganlar önce güvenlik ekiplerini kör etmeye çalıştı
Saldırının en önemli kısmı operasyon sırasıydı. Saldırgan, kimlik bilgilerinin boşaltılmasına hemen geçmedi. İlk önce bir sonraki aşamayı kaydedecek, tespit edecek veya engelleyecek sistemleri kırmaya çalıştılar.
MITRE ATT&CK bu tür etkinlikleri şu şekilde sınıflandırır:Araçları Devre Dışı Bırakın veya Değiştirin, saldırganların görünürlüğü azaltmak için antivirüs, günlük aracıları, EDR araçları, sensörler veya yapılandırma dosyalarına müdahale ettiği bir savunma bozma tekniği.
Huntress, saldırganın arkasında i.bat adlı bir toplu iş dosyası bıraktığını ve bu dosyanın savunma bozukluğu iş akışını açığa çıkardığını söyledi. Komut dosyası, IIS günlük kaydını, Microsoft Defender, Sysmon, Filebeat, uç nokta güvenlik araçlarını, WDigest ayarlarını, ModSecurity'yi ve Windows olay günlüklerini hedef aldı.
| Sahne | Ne oldu | Neden önemliydi |
|---|---|---|
| İlk erişim | Savunmasız bir web sunucusunda bir web kabuğu ortaya çıktı | Saldırganın IIS üzerinden komut çalıştırmasını sağladı |
| Keşif | Saldırgan kullanıcıları, yazılımı ve sistem ayrıntılarını sıraladı | Hesapların, araçların ve olası genişleme yollarının belirlenmesine yardımcı oldu |
| Savunma bozukluğu | Defender, Sysmon, Filebeat, WAF koruması ve olay günlükleri hedef alındı | İzlemeyi azalttı ve daha sonraki etkinliklerin araştırılmasını zorlaştırdı |
| Kimlik bilgileri erişimi | Mimikatz ile ilgili bileşenler ve kimlik bilgileri dökümü araçları kullanıldı | Şifre, karma ve hesap hırsızlığı riski yarattı |
| Temizlemek | Dosyalar, kayıt defteri anahtarları ve olay günlükleri silindi | Adli delilleri ortadan kaldırmaya çalıştı |
Defender, Sysmon ve Filebeat hedef alındı
Saldırgan, Microsoft Defender ayarlarını zayıflatmak için Windows yönetim araçlarını ve komut dosyalarını kullandı. Microsoft diyor kiSet-MpPreferencecmdlet, hariç tutmalar ve diğer güvenlik ayarları da dahil olmak üzere Defender tarama ve güncelleme tercihlerini yapılandırır.
Senaryo da hedeflendiSismonMicrosoft'un süreç oluşturmayı, ağ bağlantılarını, sürücü yüklemeyi, dosya zaman damgası değişikliklerini ve diğer etkinlikleri Windows Olay Günlüğü'ne kaydeden sistem izleme aracı.
Saldırgan, Sysmon ve Filebeat gibi araçları öldürerek veya kaldırarak, savunucuların daha sonra kimlik bilgileri boşaltma ve temizleme faaliyetlerini görme şansını azalttı. Aynı komut dosyası aynı zamanda çeşitli satıcıların güvenlik ürünlerini ve izleme hizmetlerini de hedef alıyordu.
- Devre dışı bırakılmış veya zayıflatılmış Microsoft Defender korumaları
- Saldırganın kontrol ettiği yollar ve dosya türleri için Defender hariç tutmaları oluşturuldu
- Killed Sysmon ve Filebeat işlemleri
- Günlük kaydı ve güvenlik hizmetleri durduruldu veya silindi
- Seçilen araçları dondurmak için hata ayıklayıcı ayarları kullanıldı
- Temizlenmiş güvenlik, sistem, uygulama ve kurulum olay günlükleri
Saldırgan WAF korumasını IIS'den kaldırdı
Kampanya ayrıca IIS'deki ModSecurity'yi de hedef aldı. OWASP şunları açıklar:web uygulaması güvenlik duvarıSQL enjeksiyonu ve siteler arası komut dosyası çalıştırma gibi saldırıların tespit edilmesine veya engellenmesine yardımcı olacak kuralları kullanan HTTP uygulamaları için koruyucu bir katman olarak.
Huntress'e göre saldırgan, ModSecurity IIS modülünü kaldırmadan önce IIS sitelerini ve sanal dizinleri numaralandırdı. Bu durum, özellikle de temeldeki uygulamaya tam olarak yama yapılmamışsa, sunucuyu takip eden web saldırılarına daha açık hale getirdi.
Bu önemlidir, çünkü web kabuğunun ihlali genellikle birden fazla sorun yaratır. WAF'ı kaldırmak, savunmacılar hala ilk izinsiz girişi temizlemeye çalışırken, savunmasız bir sunucunun tekrar vurulmasını kolaylaştırabilir.
WDigest'in sürümünün düşürülmesi kimlik bilgileri hırsızlığı riskini artırdı
Saldırgan, savunmaları devre dışı bıraktıktan sonra WDigest davranışını değiştirerek Windows kimlik bilgisi korumalarını zayıflattı. Microsoft'unWDigest kılavuzuUseLogonCredential kayıt defteri değerinin WDigest'in kimlik bilgilerini bellekte saklayıp saklamadığını kontrol ettiğini açıklıyor.
Bu değişiklik, kimlik bilgilerinin boşaltılmasına zemin hazırladı. MITRE bu etkinliği şu şekilde izler:İşletim Sistemi Kimlik Bilgilerinin BoşaltılmasıSaldırganların işletim sistemi belleğinden, önbelleklerinden veya diğer kimlik bilgisi depolarından hesap oturum açma bilgilerini, karmalarını veya şifreleri temizlemeyi denediği durumlarda.
Saldırgan ayrıca kayıt defterinden ODBC ile ilgili kimlik bilgilerini çıkardı ve çalınan verileri çıktı dosyalarına yazan araçları kullandı. Huntress, saldırganın kanıtları silmeye çalışmadan önce faaliyetin bir Mimikatz çekirdek sürücüsünü içerdiğini söyledi.
| Hedefli kontrol | Ortamdaki rol | Bozulma riski |
|---|---|---|
| Microsoft Defender | Uç nokta kötü amaçlı yazılım önleme ve algılama | Kötü amaçlı komut dosyaları ve araçlar daha az uyarıyla çalışabilir |
| Sismon | Ayrıntılı Windows telemetrisi ve olay günlüğü | Süreç, ağ ve dosya etkinliğinin izlenmesi zorlaşıyor |
| Dosya ritmi | Analiz platformlarına log iletme | Saldırı sırasında merkezi görünürlük bozulabilir |
| Mod Güvenliği WAF | Web uygulamaları için HTTP saldırı filtrelemesi | Web uygulamaları yaygın saldırı modellerine daha fazla maruz kalıyor |
| Özet | Windows kimlik doğrulama davranışı | Yanlış yapılandırma, düz metin kimlik bilgilerinin açığa çıkma şansını artırabilir |
Web kabuğu bir resim dizininin içine saklandı
İlk şüpheli dosya UA4fp7R.aspx, bir web kök resim dizininde göründü. Huntress, dosyanın steganografi kullandığını, bunun da yükün bir görüntü olarak görünmesine ve yürütülebilir web kabuğu içeriği içermesine olanak sağladığını söyledi.
Raporda ayrıca ilgili web kabuklarına gömülü olan ONEPIECE adlı bir işaret dizisi de belirtildi. Bu işaretleyici, savunucuların web sunucuları, yedeklemeler ve dosya bütünlüğü izleme günlüklerindeki aramalar sırasında ilgili dosyaları tanımlamasına yardımcı olabilir.
Saldırgan, müdahale faaliyeti başladıktan sonra birden fazla kez geri döndü. Bu, olay müdahale ekiplerinin neden yama uygulama, kontrol altına alma, adli inceleme ve sağlamlaştırma işlemini tamamlamadan önce savunmasız bir sunucuya yeniden bağlanmaktan veya geri yüklemekten kaçınması gerektiğini gösterdi.
Uzlaşma göstergeleri
Aşağıdaki göstergelerAvcı göstergeleriolay raporuyla birlikte yayınlandı. Güvenlik ekipleri eşleşen yapıtlar için uç noktaları, web köklerini, EDR telemetrisini, günlük platformlarını ve yedekleri araştırmalıdır.
| Tip | Gösterge | Tanım |
|---|---|---|
| SHA-256 | bd74a00f4d2ec3bf50d13ddf324bb368b2464d547abd0c572ef5e2f77943a920 | Steganografik web kabuğu, UA4fp7R.aspx |
| SHA-256 | 40859ede262098086962ab00c89f02452aa9941c88c7f4ac002db166179980c6 | Steganografik web kabuğu, 03Fl3i.aspx |
| SHA-256 | f63d293e117cae1d0a6c24359fc1361a9dc48178049cc6491051b09268c8c39c | Steganografik web kabuğu, WRBYTR5750images.aspx ve MRBTPS5754images.aspx |
| SHA-256 | 94cd18f3f030fcc9b259dc410b17ea72a1f9800ee654f8e0f07a87bb9443b593 | Savunmadan kaçınma ve numaralandırma toplu dosyası, i.bat |
| SHA-256 | 793768ce4fadab044c7502ea5ec4d8e1569283f289dfd73419e119f32d56d0f3 | PHP web kabuğu, jT1Ds.php |
| SHA-256 | f0ff36ecdc843351913dbfbd9122b62563894936ff64215a7a2f89181ebdb57f | Web kabuğu, RG0eQV6.php |
| Sicim | TEK PARÇA | İlgili web kabuklarında bulunan işaretçi dizesi |
Kuruluşlar riski nasıl azaltabilir?
Güvenlik ekipleri savunma bozukluğunu önemli bir uyarı işareti olarak ele almalıdır. Bir saldırgan günlük kaydını veya güvenlik araçlarını devre dışı bıraktığında olay zaten basit web kabuğu etkinliğinin ötesine geçmiş olabilir.
Ekipler şüpheli değişiklikleri izlemeliMicrosoft Defender tercihleri, beklenmeyen hizmet durmaları, silinen günlük aracıları, olağandışı hata ayıklayıcı ayarları ve temizlenmiş olay günlükleri. Bu değişiklikler genellikle kimlik bilgisi hırsızlığı, fidye yazılımı veya yan hareketlerden önce ortaya çıkar.
Kuruluşlar ayrıca günlükleri güvenliği ihlal edilmiş ana bilgisayarın dışına da korumalı ve iletmelidir. Saldırganın yönetici düzeyinde erişim elde etmesi durumunda yerel bir Windows olay günlüğü hızla kaybolabilir.
- İnternete yönelik web uygulamalarına ve sunucularına hızla yama yapın
- Doğrudan erişim gerekmediğinde genel sunucuları bir güvenlik duvarı veya VPN arkasında tutun
- Windows, IIS ve güvenlik günlüklerini ayrı bir sisteme iletin
- MonitörSysmon etkinlik koleksiyonuboşluklar veya ani durmalar için
- Eşlenen etkinlikle ilgili uyarıGÖNYE ATT&CK T1685
- DoğrulamakWDigest kimlik bilgileri depolama alanıgerektiğinde devre dışı kalır
- Şunun için tespitleri inceleyin:GÖNYE ATT&CK T1003kimlik bilgisi boşaltma davranışı
- Test edilmiş bir bakımı sürdürünWAF politikasıaçığa çıkan web uygulamaları için
Bu olay neden önemli?
Bu saldırı, kimlik bilgileri hırsızlığının çoğunlukla daha önceki görünürlük boşluklarına bağlı olduğunu gösteriyor. Mimikatz sahnesi dikkat çekti ancak asıl hikaye, saldırganın önce savunmayı ortadan kaldırma girişimiydi.
Vaka aynı zamanda yaygın bir tepki hatasını da vurguluyor. Düzeltme tamamlanmadan önce bir sunucuyu tekrar çevrimiçi duruma getirmek, aynı saldırgana operasyona devam etmesi için bir şans daha verebilir.
Savunma oyuncuları için ders doğrudandır. Yalnızca kimlik bilgisi dökümü araçlarını aramayın. Saldırganların bu araçlar ortaya çıkmadan önce yarattığı sessizliği arayın.
SSS
Bilgisayar korsanları Mimikatz'ı kullanmadan önce neyi devre dışı bıraktı?
Saldırganlar, Mimikatz ile ilgili kimlik bilgileri dökümü araçlarını kullanmadan önce Microsoft Defender, Sysmon, Filebeat, uç nokta güvenlik araçları, IIS günlük kaydı, ModSecurity WAF koruması ve Windows olay günlüklerini hedef aldı.
Saldırı nasıl başladı?
Olay, ele geçirilen bir web sunucusundaki şüpheli numaralandırma etkinliğiyle başladı. Araştırmacılar, sunucudaki bir görüntü dizininde gizlenmiş bir steganografik ASPX web kabuğu buldular.
Saldırı sırasında Sysmon'u devre dışı bırakmak neden tehlikelidir?
Sysmon, işlem oluşturma, ağ bağlantıları, sürücü yükleme ve dosya zaman damgası değişiklikleri dahil olmak üzere önemli Windows etkinliklerini kaydeder. Saldırganlar bunu durdurursa savunmacılar yararlı adli tıp ve tespit verilerini kaybeder.
Kimlik bilgilerinin çöpe atılması girişiminde WDigest'in rolü neydi?
Saldırgan, kimlik bilgilerinin bellekte saklanma riskini artırmak için WDigest ile ilgili ayarları değiştirdi. Bu, yeterli ayrıcalığa sahip olmaları durumunda saldırganlar için kimlik bilgisi dökümünü daha yararlı hale getirebilir.
Kuruluşlar benzer saldırıları nasıl daha erken tespit edebilir?
Kuruluşlar durdurulan güvenlik hizmetlerini, Defender tercih değişikliklerini, temizlenen olay günlüklerini, beklenmeyen web kabuğu dosyalarını, WAF kaldırmayı, WDigest değişikliklerini ve kritik sunuculardan iletilen günlüklerdeki boşlukları izlemelidir.