Wat is misbruik van PsExec of beheershares, en waarom meldt antivirus het niet?
PsExec en vergelijkbare tools voeren commando's uit op een computer op afstand door via de beheershares een kleine service te kopiëren en die te starten, en protocollen voor beheer op afstand zoals WinRM en remote desktop doen vergelijkbaar werk. Beheerders gebruiken ze dagelijks, en daarom laat antivirus ze meestal door: de tool is ondertekend en legitiem, alleen de context klopt niet. Aanvallers gebruiken ze om zich van één machine naar vele te verspreiden, ransomware in één keer naar alle servers te duwen of scripts met gestolen beheerdersgegevens te draaien. Wat ze verraadt, is wie ze gebruikt, vanaf waar en wanneer: een werkplek die om 1.30 uur beheersessies opent naar servers die hij nooit gebruikte, of één account dat binnen minuten tientallen hosts aanraakt. Beperk welke machines andere mogen beheren. NetSenX detecteert zulke nieuwe beheersessies tussen hosts als laterale beweging op elk abonnement.
Lees verder
Gerelateerde vragen
- Kunnen aanvallers zich met gestolen wachtwoorden en zonder malware door ons netwerk bewegen?
- Moeten we laterale beweging opsporen in authenticatielogs of in netwerkflows?
- Wat is op grafen gebaseerde detectie van laterale beweging?
- Missen op regels gebaseerde beveiligingstools nieuwe aanvalspaden?
- Waarom zou een printer ons netwerk scannen, en kunnen printers andere computers aanvallen?
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen