Dopo un clic su un phishing, come passano gli attaccanti da un portatile al resto della rete?

Di solito in pochi passi prevedibili. Il file o il link malevolo dà loro un canale di controllo remoto verso il proprio server, visibile come connessioni in uscita regolari. Poi si guardano intorno: quali server, condivisioni e account esistono, spesso scansionando la rete interna o interrogando la directory. Quindi raccolgono altre credenziali, dalla memoria del portatile, dalle password salvate nel browser o da altri sistemi, e le usano per accedere ad altre macchine con normali strumenti di amministrazione come il desktop remoto, PowerShell remoto o le condivisioni di file. Da lì puntano al domain controller, ai backup e agli archivi di dati. Ogni passo lascia una traccia in rete: nuove connessioni tra macchine interne che di rado si parlano, scansioni, protocolli di amministrazione da un portatile qualsiasi e dati che si spostano in luoghi insoliti. Sono queste le tracce che osserva il network detection and response (NDRNDR: network detection and response (rilevamento e risposta di rete). Monitoraggio di sicurezza che osserva il traffico tra i dispositivi e genera un avviso quando uno si comporta come un attaccante.), ed è per questo che un clic su un phishing non deve per forza finire in una violazione completa.

← Tutte le 29 domande su Phishing e cosa fare dopoTutti i temi