横向移动

最新推荐文章于 2024-04-14 17:03:09 发布

莫羡川

最新推荐文章于 2024-04-14 17:03:09 发布

阅读量5.2k

点赞数 4

分类专栏：网络安全

1 篇文章 0 订阅

订阅专栏

Windows横向移动攻击的检测
https://www.4hou.com/technology/10430.html

概述
横向移动技术广泛应用于复杂的网络攻击中，特别是高级持续性威胁（APT）。攻击者使用这些技术访问受感染系统中的其他主机，并访问敏感资源（如邮箱，共享文件夹或凭证）。这些可以用于渗透其他机器、权限提升或者窃取更有价值的凭证。通过横向移动攻击最终可以拿到域控权限，进而控制域环境下的全部机器。
APT攻击中使用横向移动的经典案例

一般来说，APT攻击中有很多情况下都是从一个工作站横向移动到另一个工作站，以期待可以获得高权限账号，直到拿到域管理员登陆凭证为止。

攻击的下一步通常是访问域控制器并dump Windows域用户的全部登陆凭证。

下图展示了APT攻击中横向移动的典型攻击场景：

横向移动攻击点与识别
https://www.freebuf.com/column/178936.html

概述
攻击者进入到目标网络后，下一步就是在内网中横向移动，然后再获取数据，所以攻击者需要一些立足点，因此横向移动会包含多种方式。本文关注于在横向移动中所采用的技术手段，以及对应的案例和检测方法。
攻击技术（及其对应的案例和检测方法）

APPLE脚本攻击
软件安装
根据权限，在目标范围内安装软件，也包括软件的自动更新下载。
案例：最著名的就是APT32了，居然入侵了McAfee的ePO服务器进行恶意软件分发，而且用的还是ePO专有协议。

防范措施：
对安装应用权限进行回收，包括防火墙，账户权限隔离，组策略和多因素验证，确保关键系统的访问隔离。定期打补丁，防止特权升级。
监控应用安装情况，应用安装固定在某个时间段，这样可以发现非正常时间段的异常安装，监控系统账户活动。

DCOM
DCOM是微软的透明中间件，可以让客户端调用服务器，一般是DLL或EXE，其中权限由注册表的ACL指定，默认只有管理员可以远程激活启动COM对象。通过DCOM，攻击者可以使用Office执行宏，甚至可以直接的shellcode。
案例： POWERSTATS是个利用WORD钓鱼的APT工具，整个流程如下。其中PowerShell包含了一个risk的命令，则是利用了DCOM对象执行代码。

防范措施：
用Dcomcnfg.exe禁用DCOM或修改安全范围。启用Windows防火墙，默认阻止DCOM实例化，启用所有COM警报和Protected View。
监控COM对象加载DLL。监控COM对象关联的进程的生成，特别是和当前登录用户不同的用户调用。监控RPC流量的进入。

远程服务提权
利用漏洞实现对远程系统访问，通常先是扫描查找漏洞系统，有一些很常见的漏洞比如SMB、RDP、MySQL以及各种Web，然后利用这些漏洞提升权限。
登陆脚本
Windows可在登录系统时运行登录脚本，脚本可以执行管理功能，比如执行其他应用，发送日志之类。攻击者可以在这个脚本里插入代码，这样登陆时就可以执行攻击。既可以本地持久性，也可以全局推送。
案例：又是APT28，在注册表HKCU\Environment\UserInitMprLogonScript添加木马建立持久性。

防范措施：
登录脚本写权限限制为特定管理员，限制账户访问权限。应用白名单，例如AppLocker。监控异常用户、异常时间、异常访问登录脚本。查找异常帐户添加或修改的文件。

Hash传递
Ticket传递
远程桌面协议
远程文件复制
文件复制差不多是横向移动的必选动作了，用到的工具可能有FTP，scp，rsync等之类，也有可能是Windows共享或RDP。在Linux，macOS，Windows三种平台都有。
案例：是个APT就带这个功能。工具也包括各类外部恶意代码下载。

防范措施：
IDS可以通过签名识别恶意软件流量，也可识别FTP数据传输。但攻击者一般会进行混淆，而且各种恶意软件家族版本都不同。
监控文件创建行为，监控SMB传输文件。分析网络数据，例如发送数据多于接收数据这种，就比较可疑。分析不常见的协议和端口。

远程连接服务
可移动介质复制
SSH劫持
WEB共享
共享文件污染
共享服务器中的文件被污染。其中有一个技术称之为数据透视，不是excel的那个透视，是对.LNK文件的快捷方式修改，看起来像是真实目录，但其中嵌入命令执行，同时又打开真实目录，让用户误以为操作正常。
案例：例如Darkhotel，一个针对企业高管的APT，还有H1N1，Miner-C。这种方法能够在几个小时内快速传播并且提权。

防范措施：
用户写权限最小化。EMET。禁止目录共享。白名单。
监控多文件写入共享，监控移动介质关联的网络连接，扫描共享目录恶意文件、隐藏文件、.LNK文件和其他罕见类型文件。

关注