Los hackers deshabilitan la protección de endpoints e implementan Sliver en todos los dominios de Windows comprometidos

Una nueva campaña de intrusión muestra lo rápido que se puede convertir un dominio de Windows en una plataforma de lanzamiento para un compromiso más profundo. Los operadores utilizaron una baliza de comando y control Sliver, la creación de cuentas, el robo de credenciales y la administración remota para establecer el control después de obtener un punto de apoyo inicial.

Los hackers deshabilitan la protección de punto final Después de ingresar al dominio, los operadores programaron la creación de una cuenta de Active Directory con una contraseña que no caduca y la agregaron directamente a los administradores del dominio. Añadió el dominio de los atacantes a una lista de permisos y colocó un registro coincidente en el DNS interno, haciendo que el dominio se resolviera internamente y pasara el mismo control de seguridad destinado a bloquearlo. Los informes recientes sobre campañas de instaladores falsos que deshabilitan Defender también mostraron que los atacantes usaban flujos de trabajo de instaladores y tareas programadas para debilitar los controles antes de mantener el acceso. Los lectores que examinan el tradecraft de Windows relacionado pueden comparar la actividad de implante de Sliver dirigida a Alemania y el abuso de tareas del SISTEMA de ransomware, que muestran cómo los componentes familiares pueden encadenarse en un incidente en toda la empresa.

Consultar publicación original ↗