Was ist der Missbrauch von PsExec oder Admin-Freigaben, und warum meldet der Virenschutz ihn nicht?
PsExec und ähnliche Werkzeuge führen Befehle auf einem entfernten Rechner aus, indem sie einen kleinen Dienst über dessen administrative Dateifreigaben kopieren und starten; Fernverwaltungsprotokolle wie WinRM und Remote Desktop erledigen Ähnliches. Administratoren nutzen sie täglich, deshalb lässt der Virenschutz sie meist durch: Das Werkzeug ist signiert und legitim, nur der Zusammenhang stimmt nicht. Angreifer nutzen sie, um sich von einem Rechner auf viele auszubreiten, Ransomware gleichzeitig auf alle Server zu verteilen oder Skripte mit gestohlenen Administratorzugangsdaten auszuführen. Verräterisch ist, wer sie wann und von wo nutzt: ein Arbeitsplatzrechner, der um 1:30 Uhr administrative Sitzungen zu Servern öffnet, die er nie genutzt hat, oder ein Konto, das binnen Minuten Dutzende Hosts berührt. Beschränken Sie, welche Rechner andere verwalten dürfen. NetSenX erkennt solche neuen administrativen Sitzungen zwischen Hosts in jedem Plan als laterale Bewegung.
Weiterlesen
Verwandte Fragen
- Können sich Angreifer mit gestohlenen Passwörtern und ohne Schadsoftware durch unser Netz bewegen?
- Sollten wir laterale Bewegung über Authentifizierungs-Logs oder über Netzflüsse erkennen?
- Was ist graphbasierte Erkennung lateraler Bewegung?
- Übersehen regelbasierte Sicherheitswerkzeuge neue Angriffswege?
- Warum sollte ein Drucker unser Netz scannen, und können Drucker andere Rechner angreifen?