Hoe komen aanvallers na een klik op phishing van één laptop in de rest van het netwerk?

Meestal in een paar voorspelbare stappen. Het kwaadaardige bestand of de link geeft hun een kanaal voor besturing op afstand naar hun eigen server, zichtbaar als regelmatige uitgaande verbindingen. Daarna kijken ze rond: welke servers, shares en accounts er zijn, vaak door het interne netwerk te scannen of de directory te bevragen. Vervolgens verzamelen ze meer inloggegevens, uit het geheugen van de laptop, in de browser opgeslagen wachtwoorden of andere systemen, en loggen daarmee in op andere machines met gewone beheertools zoals extern bureaublad, PowerShell op afstand of bestandsshares. Van daaruit mikken ze op de domeincontroller, de back-ups en de dataopslag. Elke stap laat een spoor op het netwerk achter: nieuwe verbindingen tussen interne machines die zelden met elkaar praten, scans, beheerprotocollen vanaf een gewone laptop en data die naar ongebruikelijke plekken gaat. Op die sporen let network detection and response (NDRNDR: network detection and response (netwerkdetectie en -respons). Beveiligingsmonitoring die het verkeer tussen apparaten bekijkt en een melding geeft als er een zich als aanvaller gedraagt.), en daarom hoeft een klik op phishing niet in een volledige inbraak te eindigen.

← Alle 29 vragen over Phishing en de nasleepAlle onderwerpen