पार्श्व आंदोलन

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

पार्श्व आंदोलन की रणनीति ( लेटरल मूवमेंट - लेटरल, लेटरल, हॉरिजॉन्टल मूवमेंट ) में दुश्मन के लिए तरीके शामिल हैं, जो कि हमले वाले नेटवर्क से जुड़े रिमोट सिस्टम तक पहुंच और नियंत्रण हासिल कर सकते हैं, साथ ही कुछ मामलों में, रिमोट सिस्टम से जुड़े दुर्भावनापूर्ण टूल लॉन्च करते हैं। हमला नेटवर्क के लिए। लेटरल नेटवर्क मूवमेंट एक हमलावर को रिमोट टूल यूटिलिटीज (RAT) जैसे अतिरिक्त टूल के उपयोग के बिना रिमोट सिस्टम से जानकारी प्राप्त करने की अनुमति देता है।

लेख में दी गई जानकारी को लागू करने के संभावित परिणामों के लिए लेखक जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री की एक निःशुल्क रीटेलिंग है।

AppleScript

प्रणाली: macOS
अधिकार: उपयोगकर्ता
विवरण: AppleScript भाषा ऐप्पल इवेंट के साथ काम करने की क्षमता प्रदान करती है - इंटरप्रोसेस संचार (IPC) के हिस्से के रूप में अनुप्रयोगों के बीच बदले गए संदेश। Apple ईवेंट का उपयोग करके, आप लगभग किसी भी एप्लिकेशन के साथ बातचीत कर सकते हैं जो स्थानीय रूप से या दूरस्थ रूप से खुला है, घटनाओं को ट्रिगर करें जैसे कि खिड़कियां खोलना और चाबियाँ दबाएं। लिपियों को कमांड का उपयोग करके चलाया जाता है: Osascript -e [] ।
हमलावर AppleScript का उपयोग दूरस्थ मेजबान के लिए खुले तौर पर SSH कनेक्शन का उपयोग करने के लिए कर सकते हैं, जिससे उपयोगकर्ता नकली संवाद कर सकते हैं। AppleScript का उपयोग अधिक सामान्य प्रकार के हमलों में भी किया जा सकता है, जैसे रिवर्स शेल संगठन।

सुरक्षा सिफारिशें: विश्वसनीय डेवलपर के हस्ताक्षर के लिए AppleScript स्क्रिप्ट चलाने का अनिवार्य सत्यापन।

अनुप्रयोग परिनियोजन सॉफ़्टवेयर

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल करने के लिए दुर्भावनापूर्ण उपयोगकर्ताओं द्वारा एंटरप्राइज़ नेटवर्क व्यवस्थापकों द्वारा उपयोग किए जाने वाले अनुप्रयोग परिनियोजन उपकरण का उपयोग किया जा सकता है। इन चरणों को पूरा करने के लिए आवश्यक अनुमतियाँ सिस्टम कॉन्फ़िगरेशन पर निर्भर करती हैं: सॉफ़्टवेयर इंस्टॉलेशन सर्वर तक पहुंचने के लिए कुछ डोमेन क्रेडेंशियल्स की आवश्यकता हो सकती है, और स्थानीय विशेषाधिकार पर्याप्त हो सकते हैं, हालांकि, एप्लिकेशन इंस्टॉलेशन सिस्टम में प्रवेश करने और तैनाती प्रक्रिया शुरू करने के लिए एक व्यवस्थापक खाते की आवश्यकता हो सकती है। प्रणाली। एक केंद्रीकृत कॉरपोरेट एप्लिकेशन इंस्टॉलेशन सिस्टम तक पहुंच हमलावर नेटवर्क के सभी सिस्टम में कोड को दूरस्थ रूप से निष्पादित करने की अनुमति देता है। इस तरह के उपयोग का उपयोग नेटवर्क के माध्यम से स्थानांतरित करने, जानकारी एकत्र करने या एक विशिष्ट प्रभाव पैदा करने के लिए किया जा सकता है, उदाहरण के लिए, सभी मेजबानों पर हार्ड ड्राइव की सफाई।

सुरक्षा अनुशंसाएँ: केवल सीमित व्यवस्थापकों को आवेदन परिनियोजन प्रणाली तक पहुँचने की अनुमति देती है। विश्वसनीय अलगाव प्रदान करें और फ़ायरवॉल का उपयोग करके महत्वपूर्ण नेटवर्क सिस्टम तक पहुंच को सीमित करें, खाता विशेषाधिकार को प्रतिबंधित करें, समूह सुरक्षा नीतियों और बहु-कारक प्रमाणीकरण को कॉन्फ़िगर करें। सुनिश्चित करें कि सॉफ्टवेयर तैनाती प्रणाली तक पहुंच वाले खातों का डेटा अद्वितीय है और पूरे नेटवर्क में उपयोग नहीं किया जाता है। कमजोरियों के शोषण के माध्यम से अनधिकृत रिमोट एक्सेस प्राप्त करने से रोकने के लिए एप्लिकेशन इंस्टॉलेशन सिस्टम को नियमित रूप से पैच और अपडेट स्थापित करें। यदि एप्लिकेशन इंस्टॉलेशन सिस्टम केवल हस्ताक्षरित बाइनरी फ़ाइलों को वितरित करने के लिए कॉन्फ़िगर किया गया है, तो सुनिश्चित करें कि विश्वसनीय हस्ताक्षर प्रमाण पत्र उस पर स्थित नहीं हैं, लेकिन एक ऐसी प्रणाली पर संग्रहीत हैं जिसे दूरस्थ रूप से एक्सेस नहीं किया जा सकता है या प्रतिबंधित और नियंत्रित नहीं है।

DCOM (वितरित घटक वस्तु मॉडल)

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: DCOM एक प्रोटोकॉल है जो घटक ऑब्जेक्ट मॉडल (COM) की कार्यक्षमता का विस्तार करता है, जिससे सॉफ्टवेयर घटकों को न केवल स्थानीय प्रणाली के भीतर, बल्कि नेटवर्क पर भी दूरस्थ प्रक्रिया कॉल (RPC) तकनीक का उपयोग करके अन्य प्रणालियों के अनुप्रयोग घटकों के साथ बातचीत करने की अनुमति मिलती है। COM विंडोज एपीआई का एक घटक है। COM के माध्यम से, एक क्लाइंट ऑब्जेक्ट सर्वर ऑब्जेक्ट विधि, आमतौर पर DLL या .exe फ़ाइलों को कॉल कर सकता है। स्थानीय या दूरस्थ सर्वर COM ऑब्जेक्ट के साथ सहभागिता करने के लिए अनुमतियाँ रजिस्ट्री में ACL का उपयोग करके परिभाषित की जाती हैं। डिफ़ॉल्ट रूप से, केवल व्यवस्थापक DCOM के माध्यम से COM ऑब्जेक्ट को दूरस्थ रूप से सक्रिय और चला सकते हैं।

दुश्मन DCOM का उपयोग नेटवर्क में बग़ल में जाने के लिए कर सकते हैं। DCOM के माध्यम से, उचित विशेषाधिकारों के साथ एक उपयोगकर्ता के संदर्भ में काम करने वाला हमलावर दूरस्थ रूप से कार्यालय अनुप्रयोगों और अन्य विंडोज ऑब्जेक्ट्स के माध्यम से असुरक्षित कोड निष्पादित कर सकता है जिसमें असुरक्षित तरीके शामिल हैं। DCOM मौजूदा दस्तावेज़ों में भी मैक्रोज़ निष्पादित कर सकता है, साथ ही एक दुर्भावनापूर्ण दस्तावेज़ बनाने की आवश्यकता को दरकिनार करके Microsoft Office में बनाए गए COM ऑब्जेक्ट के माध्यम से डायनेमिक डेटा एक्सचेंज (DDE) को सीधे कॉल कर सकता है। DCOM कार्यक्षमता के साथ एक विरोधी भी प्रदान कर सकता है जिसका उपयोग हमले के अन्य चरणों में किया जा सकता है, जैसे विशेषाधिकार वृद्धि या पिनिंग एक्सेस।

सुरक्षा सिफारिशें: रजिस्ट्री का उपयोग करके COM अनुप्रयोगों के लिए व्यक्तिगत सुरक्षा सेटिंग्स कॉन्फ़िगर करें: कोड> HKEY_LOCAL_MACHINE \ SOFTWARE \ Classes \ AppID।
DOMcnfg.exe सुविधा का उपयोग करके या रजिस्ट्री में DCOM समर्थन को अक्षम करने पर विचार करें : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\EnableDCOM=SZ:N
Windows फ़ायरवॉल सक्षम करें, जो डिफ़ॉल्ट रूप से DCOM इंस्टेंस को बनने से रोकता है। MS Office दस्तावेज़ों में COM ऑब्जेक्ट के लॉन्च के बारे में सुरक्षित देखने और सूचनाओं को चालू करें।

दूरस्थ सेवाओं का शोषण

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: मनमाने कोड को निष्पादित करने के लिए, हमलावर प्रोग्राम, सेवाओं, ऑपरेटिंग सिस्टम सॉफ़्टवेयर या ऑपरेटिंग सिस्टम के कर्नेल में त्रुटियों का उपयोग करने वाले कारनामों का उपयोग कर सकते हैं। प्रारंभिक समझौता के बाद दूरस्थ सेवाओं की कमजोरियों का दोहन करने का उद्देश्य सिस्टम को नेटवर्क के चारों ओर जाने के लिए दूरस्थ पहुंच प्रदान करना है।

इससे पहले, प्रतिकूलताओं को कमजोरियों वाले सिस्टम की पहचान करने की आवश्यकता होती है। यह नेटवर्क सेवाओं या अन्य पता लगाने के तरीकों को स्कैन करके किया जा सकता है, जैसे कि आम कमजोर सॉफ्टवेयर और लापता पैच की खोज, जो कमजोरियों की उपस्थिति को इंगित करता है, या सुरक्षा साधनों की खोज जो कमजोरियों का पता लगाने और दूरस्थ शोषण को रोकने के लिए उपयोग किया जाता है। नेटवर्क को नेविगेट करते समय सर्वर का उपयोग करने के लिए सबसे अधिक मूल्यवान लक्ष्य होने की संभावना है, लेकिन अतिरिक्त संसाधनों के लिए किसी भी लाभ या पहुंच के साथ यदि वे सहायक प्रदान करते हैं, तो वर्कस्टेशन भी जोखिम में हैं।

कमजोरियों को साझा सेवाओं, जैसे एसएमबी, आरडीपी, के साथ-साथ आंतरिक नेटवर्क पर उपयोग किए जाने वाले अनुप्रयोगों जैसे कि MySQL और वेब सर्वर सेवाओं में जाना जाता है। असुरक्षित सेवा की अनुमति के आधार पर, एक पार्श्व चाल का उपयोग करके एक विरोधी अतिरिक्त विशेषाधिकार प्राप्त कर सकता है।

सुरक्षा युक्तियाँ : खंड नेटवर्क और सिस्टम महत्वपूर्ण प्रणालियों और सेवाओं तक पहुंच को कम करने के लिए। केवल उन्हीं लोगों को अधिकार प्रदान करके सेवाओं की उपलब्धता को कम करें जिन्हें उनकी आवश्यकता है। नई और संभावित कमजोर सेवाओं के लिए नियमित रूप से अपने आंतरिक नेटवर्क की जाँच करें। कवरेज को सीमित करने के लिए सेवा खातों के लिए अनुमति और पहुंच को कम करें।

नियमित रूप से सॉफ़्टवेयर को अपडेट करें, आंतरिक होस्ट और सर्वर पर एप्लिकेशन पैच की स्थापना के प्रबंधन की प्रक्रिया को लागू करें। खतरे के प्रकारों और स्तरों को निर्धारित करने के लिए साइबर खतरे विश्लेषण प्रक्रियाओं का विकास करें, जिसके दौरान शोषण आपके संगठन के खिलाफ इस्तेमाल किया जा सकता है, जिसमें शून्य-दिन की कमजोरियों के शोषण भी शामिल हैं। दुश्मन के लिए अज्ञात या अयोग्य कमजोरियों का उपयोग करके ऑपरेशन करना मुश्किल बनाने के लिए सैंडबॉक्स का उपयोग करें। अन्य प्रकार के माइक्रोसेप्शन और एप्लिकेशन वर्चुअलाइजेशन भी कुछ प्रकार के कारनामों के प्रभाव को कम कर सकते हैं। विंडोज डिफेंडर एक्सप्लॉइट गार्ड (डब्ल्यूडीईजी) और एन्हांस्ड मिटिगेशन एक्सपीरिएंस टूलकिट (ईएमईटी) जैसे सुरक्षा सॉफ्टवेयर, जिसका उद्देश्य कमजोरियों के शोषण के दौरान इस्तेमाल किए जाने वाले व्यवहार का पता लगाना है, का उपयोग शोषण से बचाने के लिए किया जा सकता है। नियंत्रण प्रवाह की अखंडता को सत्यापित करना सॉफ्टवेयर कमजोरियों के शोषण को पहचानने और अवरुद्ध करने का एक और तरीका है। सूचीबद्ध सुरक्षा सुविधाओं में से कई सभी कार्यक्रमों और सेवाओं के लिए काम नहीं कर सकते हैं, संगतता लक्ष्य आवेदन की वास्तुकला और द्विआधारी फ़ाइल पर निर्भर करती है।

उपलब्ध उपकरणों के आधार पर, कमजोरियों के शोषण के बचाव पक्ष द्वारा पता लगाना मुश्किल हो सकता है। सॉफ़्टवेयर कारनामे हमेशा सफल नहीं हो सकते हैं या अस्थिर प्रक्रिया या हमले की प्रक्रिया को असामान्य रूप से समाप्त कर सकते हैं। समझौता के संकेतकों पर ध्यान दें, उदाहरण के लिए, प्रक्रियाओं का असामान्य व्यवहार, डिस्क पर संदिग्ध फ़ाइलों की उपस्थिति, असामान्य नेटवर्क ट्रैफ़िक, डिटेक्शन टूल के ट्रिगर के संकेत और प्रक्रिया इंजेक्शन।

लोगन लिपियाँ

सिस्टम: विंडोज, मैकओएस
विवरण: एक विरोधी नई लॉगऑन स्क्रिप्ट बनाने या संशोधित करने की क्षमता का उपयोग कर सकता है - स्क्रिप्ट जो तब निष्पादित की जाती हैं जब कोई विशेष उपयोगकर्ता या उपयोगकर्ताओं का समूह सिस्टम पर लॉग ऑन करता है। यदि किसी हमलावर ने एक डोमेन नियंत्रक पर एक लॉगऑन स्क्रिप्ट तक पहुंच प्राप्त की है, तो वह इसे पूरे नेटवर्क में बग़ल में स्थानांतरित करने के लिए डोमेन में सभी प्रणालियों पर कोड निष्पादित करने के लिए संशोधित कर सकता है। लॉगिन स्क्रिप्ट की अनुमति के आधार पर, स्थानीय या प्रशासनिक क्रेडेंशियल की आवश्यकता हो सकती है।
एक मैक पर, लॉगऑन स्क्रिप्ट ( लॉगिन / लॉगआउट हुक ), लॉगिन आइटम के विपरीत, जो उपयोगकर्ता के संदर्भ में चलाए जाते हैं, को रूट के रूप में चलाया जा सकता है।

सुरक्षा अनुशंसाएँ: लॉगिन स्क्रिप्ट बनाने के लिए व्यवस्थापक विशेषाधिकार को प्रतिबंधित करना। संभावित खतरनाक सॉफ़्टवेयर की पहचान और अवरोधन जिसका उपयोग लॉगिन परिदृश्यों को संशोधित करने के लिए किया जा सकता है। Windows AppLocker अज्ञात कार्यक्रमों के लॉन्च को अवरुद्ध कर सकता है।

हैश पास करें

सिस्टम: विंडोज
विवरण: पास हैश (PtH) स्पष्ट रूप में अपने पासवर्ड तक पहुंच के बिना किसी उपयोगकर्ता को प्रमाणित करने की एक विधि है। विधि मानक प्रमाणीकरण चरणों को बायपास करने के लिए है जो पासवर्ड की आवश्यकता होती है और सीधे प्रमाणीकरण के उस हिस्से पर जाएं जो पासवर्ड हैश का उपयोग करता है। वास्तविक पासवर्ड के हैश को क्रेडेंशियल एक्सेस तकनीकों का उपयोग करके विरोधी द्वारा कब्जा कर लिया जाता है, फिर हैश का उपयोग PtH प्रमाणीकरण के लिए किया जाता है, जिसका उपयोग स्थानीय या दूरस्थ सिस्टम पर कार्रवाई करने के लिए किया जा सकता है।

Windows 7 पर और उसके बाद स्थापित KB2871997 अपडेट के साथ पास हैश हमले को चलाने के लिए, आपको वैध डोमेन उपयोगकर्ता क्रेडेंशियल्स या व्यवस्थापक हैश (RID 500) की आवश्यकता है।

सुरक्षा सिफारिशें: खाता लॉगिन की असामान्य गतिविधि की पहचान करने के लिए मॉनिटर सिस्टम और डोमेन लॉग। मौजूदा खातों तक पहुंच रोकें। विंडोज 7 और उससे ऊपर के सिस्टम पर, डिफ़ॉल्ट स्थानीय व्यवस्थापक समूहों में खातों तक पहुंच को प्रतिबंधित करने के लिए KB2871997 हॉटफ़िक्स स्थापित करें।

पास द हैश को लागू करने की संभावना को कम करने के लिए, जब रजिस्ट्री या समूह नीतियों में संबंधित कुंजी को संपादित करके एक उपयोगकर्ता नेटवर्क पर लॉग ऑन करता है, तो UAC की दूरस्थ शुरुआत को अक्षम करें:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolice

GPO:Computer Configuration > [Policies] > Administrative Templates > SCM: Pass the Hash Mitigation: Apply UAC restriction to local accounts on network logons

अलग-अलग प्रणालियों में खातों के संयोग को सीमित करें ताकि उनके समझौता को रोका जा सके और सिस्टम के बीच दुश्मन की क्षमता को कम किया जा सके। सुनिश्चित करें कि स्थानीय व्यवस्थापकों के अंतर्निहित और निर्मित क्रेडेंशियल्स में जटिल अद्वितीय पासवर्ड हैं। एक डोमेन उपयोगकर्ता को कई सिस्टम पर स्थानीय प्रशासक समूह का सदस्य बनने की अनुमति न दें। दर्रा हैश हमलों का पता लगाने के लिए, एक ऑडिट विसंगति की जाँच के साथ सभी लॉगिन और क्रेडेंशियल उपयोग की घटनाओं से किया जाता है (उदाहरण के लिए, एक खाता कई प्रणालियों पर एक साथ उपयोग किया गया था)। संदिग्ध गतिविधि (उदाहरण के लिए, द्विआधारी फ़ाइलों को बनाने और निष्पादित करने) से जुड़े असामान्य लॉग भी दुर्भावनापूर्ण गतिविधि का संकेत दे सकते हैं। NTLM LogonType 3 प्रकार (नेटवर्क प्रविष्टि) की प्रमाणीकरण घटनाएँ जो डोमेन और गैर-अनाम खातों (SID S-1-5-7 के साथ उपयोगकर्ता) से संबंधित नहीं हैं, को भी संदिग्ध होना चाहिए।

टिकट पास करें

सिस्टम: विंडोज
विवरण: पास टिकट (PtT) एक खाता पासवर्ड तक पहुँच के बिना एक Kerberos टिकट प्रमाणीकरण विधि है। करबरोस प्रमाणीकरण का उपयोग एक दूरस्थ प्रणाली के लिए एक विरोधी को स्थानांतरित करने के लिए पहले कदम के रूप में किया जा सकता है।
PtT के दौरान, चालू खातों के लिए वैध Kerberos टिकट को प्रतिकूल डंपिंग तकनीकों का उपयोग करके कैप्चर किया जाता है। उपयोग के स्तर के आधार पर, उपयोगकर्ता सेवा टिकट या टिकट देने वाले टिकट (टीजीटी) प्राप्त किए जा सकते हैं। एक सेवा टिकट एक विशिष्ट संसाधन तक पहुंच की अनुमति देता है, जबकि एक TGT का उपयोग किसी भी संसाधन तक पहुंचने के लिए टिकट सेवा (TGS) से सेवा टिकट का अनुरोध करने के लिए किया जा सकता है, जिसके लिए एक उपयोगकर्ता की पहुंच होती है।

सिल्वर टिकट (नकली टीजीएस) उन सेवाओं के लिए प्राप्त किया जा सकता है जो प्रमाणीकरण तंत्र के रूप में केर्बोस का उपयोग करते हैं, और एक विशिष्ट संसाधन तक पहुँच के लिए टिकट उत्पन्न करने के लिए उपयोग किया जाता है और सिस्टम जिसमें संसाधन स्थित है (उदाहरण के लिए, SharePoint)।

गोल्डन टिकट (गैर-मौजूद उपयोगकर्ताओं सहित किसी भी उपयोगकर्ता के संदर्भ में संसाधनों तक असीमित पहुंच के लिए केर्बोस टिकट) कुंजी वितरण सेवा खाते के NTLM हैश का उपयोग करके प्राप्त किया जा सकता है - KRBTGT, जो AD में किसी भी खाते के लिए TGT उत्पन्न करना संभव बनाता है।

सुरक्षा सिफारिशें: सिस्टम में असामान्य क्रेडेंशियल्स के लिए मॉनिटर। पूरे सिस्टम में क्रेडेंशियल मिलान सीमित करें, जिससे समझौता होने की स्थिति में क्षति को रोका जा सके। सुनिश्चित करें कि स्थानीय व्यवस्थापक खातों में जटिल, अद्वितीय पासवर्ड हैं। उपयोगकर्ता को कई प्रणालियों का स्थानीय व्यवस्थापक बनने की अनुमति न दें। डोमेन नियंत्रक और प्रतिबंधित सर्वर के लिए डोमेन व्यवस्थापक खाता अनुमतियों को सीमित करें। अलग-अलग खातों में अन्य व्यवस्थापक कार्यों को प्रतिनिधि बनाएं।

पहले से बनाए गए गोल्ड टिकट को काउंटर करने के लिए, केआरबीटीजीटी बिल्ट-इन अकाउंट के पासवर्ड को दो बार रीसेट करें, जो कि गोल्डन टिकट से प्राप्त केआरबीटीजीटी पासवर्ड हैश और अन्य केर्बरोस टिकट का उपयोग करके बनाए गए सभी गोल्डन टिकट को अमान्य कर देगा।

Applocker या सॉफ़्टवेयर प्रतिबंध नीतियों जैसे एप्लिकेशन श्वेतसूची उपकरण का उपयोग करके , अज्ञात या दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानने और अवरुद्ध करने का प्रयास करें जिनका उपयोग Kerberos टिकट और आगे प्रमाणीकरण प्राप्त करने के लिए किया जा सकता है।

PtT हमलों का पता लगाने के लिए, हम सभी Kerberos प्रमाणीकरण घटनाओं की ऑडिटिंग करने और विसंगति विश्लेषण के साथ क्रेडेंशियल्स का उपयोग करने की सलाह देते हैं। असामान्य रिमोट प्रमाणीकरण घटनाएं जो अन्य संदिग्ध गतिविधि (जैसे लेखन और रनिंग बायनेरिज़) के साथ संबंध रखती हैं, दुर्भावनापूर्ण गतिविधि के संकेतक के रूप में काम कर सकती हैं।
KRBTGT पासवर्ड के दोहरे रीसेट के बाद गोल्डन टिकट का उपयोग करते समय इवेंट ID4769 एक डोमेन नियंत्रक पर उत्पन्न होता है। स्टेटस कोड 0x1F एन्क्रिप्टेड फ़ील्ड की असफल अखंडता जांच को इंगित करता है और अमान्य गोल्डन टिकट का उपयोग करने के प्रयास को इंगित करता है।

रिमोट डेस्कटॉप प्रोटोकॉल

सिस्टम: विंडोज
अधिकार: दूरस्थ डेस्कटॉप उपयोगकर्ता, उपयोगकर्ता
विवरण: रिमोट डेस्कटॉप ऑपरेटिंग सिस्टम की एक विशिष्ट विशेषता है जो उपयोगकर्ता को दूरस्थ कंप्यूटर पर ग्राफिकल इंटरफ़ेस के साथ इंटरैक्टिव सत्र में प्रवेश करने की अनुमति देता है। Microsoft RDP प्रोटोकॉल के अपने कार्यान्वयन को दूरस्थ डेस्कटॉप सर्वो (RDS) के रूप में कहता है । अन्य कार्यान्वयन और तीसरे पक्ष के उपकरण हैं जो आरडीएस जैसी दूरस्थ सेवाओं तक ग्राफिकल पहुंच प्रदान करते हैं। यदि संबंधित सेवा चालू है, तो दुश्मन RDP / RDS के माध्यम से रिमोट सिस्टम से कनेक्ट हो सकते हैं और हमलावर को ज्ञात क्रेडेंशियल्स के साथ एक्सेस की अनुमति देते हैं। इससे पहले, विरोधी संभवतः क्रेडेंशियल प्राप्त करने के लिए क्रेडेंशियल एक्सेस तकनीकों का उपयोग करेगा जो आरडीपी के साथ उपयोग किया जा सकता है। विरोधियों को सिस्टम में खुद को सुरक्षित करने के लिए विंडोज एक्सेसिबिलिटी एब्यूस तकनीक के साथ आरडीपी का उपयोग कर सकते हैं।

एक हमलावर भी RDP सत्रों को वैध उपयोगकर्ताओं के दूरस्थ सत्रों को अपहृत करने का प्रयास कर सकता है। आमतौर पर, जब आप किसी सत्र को चुराने की कोशिश करते हैं, तो उपयोगकर्ता को एक अधिसूचना और एक पुष्टिकरण अनुरोध प्राप्त होता है, हालांकि, टर्मिनल सेवा कंसोल का उपयोग करके सिस्टम-स्तरीय अनुमतियाँ होने पर, आप बिना क्रेडेंशियल प्रदान किए सत्र को रोक सकते हैं और उपयोगकर्ता की पुष्टि कर सकते हैं: C:\Windows\system32\tscon.exe [ , ] ।
इसे दूरस्थ या स्थानीय रूप से सक्रिय या निरस्त सत्रों के साथ किया जा सकता है। यह डोमेन व्यवस्थापक सत्र या अधिक विशेषाधिकार प्राप्त उपयोगकर्ता का अपहरण करके विशेषाधिकार वृद्धि का कारण भी बन सकता है। उपरोक्त सभी अंतर्निहित विंडोज कमांड्स का उपयोग करके किया जा सकता है, या इसी कार्यक्षमता को पेंटिंग के लिए टूल में जोड़ा जा सकता है, उदाहरण के लिए RedSnarf ।

सुरक्षा अनुशंसाएँ: RDP सेवा को अक्षम करें यदि इसकी आवश्यकता नहीं है, तो अनावश्यक खातों और समूहों को दूरस्थ डेस्कटॉप उपयोगकर्ता समूह से हटा दें, फ़ायरवॉल में सुरक्षा ज़ोन के बीच RDP ट्रैफ़िक अवरोधन नियम को सक्षम करें। दूरस्थ डेस्कटॉप उपयोगकर्ता समूह के सदस्यों की नियमित रूप से जाँच करें। उन समूहों की सूची से व्यवस्थापकों के समूह को निकालें जिन्हें RDP के माध्यम से लॉग इन करने की अनुमति है। यदि दूरस्थ पहुँच आवश्यक है, तो दूरस्थ उपयोगकर्ता के अधिकारों को प्रतिबंधित करें। दूरस्थ लॉगिन के लिए रिमोट डेस्कटॉप गेटवे और मल्टी-फैक्टर प्रमाणीकरण का उपयोग करें। RDP को इंटरनेट से सुलभ न छोड़ें। टाइमआउट को परिभाषित करके GPO को संशोधित करें और अधिकतम समय जो एक दूरस्थ सत्र सक्रिय हो सकता है। अधिकतम समय को इंगित करने के लिए GPO बदलें जो दूरस्थ सर्वर होस्ट सर्वर पर सक्रिय रहता है।

, RDP , , , . RDP tscon.exe , cmd.exe /k cmd.exe /c .

(Remote File Copy)

: Windows, Linux, macOS
:
: . , , C&C , FTP. Mac Linux c , scp, rsync, sftp. - . , SMB Windows Admin Shares RDP.

: IDS/IPS-, , FTP, . , , , , , , . , , C2 , .

पता लगाने के साधन के रूप में, एसएमबी के माध्यम से नेटवर्क पर फ़ाइलों के निर्माण और हस्तांतरण की निगरानी की सिफारिश की जाती है। बाहरी नेटवर्क कनेक्शन के साथ असामान्य प्रक्रियाएं जो सिस्टम के भीतर फाइल बनाती हैं, संदिग्ध हो सकती हैं। एफ़टीपी जैसी उपयोगिताओं का एटिपिकल उपयोग भी संदिग्ध हो सकता है। यह असामान्य डेटा धाराओं के लिए नेटवर्क डेटा का विश्लेषण करने के लिए भी सिफारिश की जाती है, उदाहरण के लिए, क्लाइंट सर्वर से प्राप्त आंकड़ों की तुलना में काफी अधिक डेटा भेजता है। नेटवर्क प्रक्रियाएँ जिनमें आमतौर पर नेटवर्क कनेक्टिविटी नहीं होती है वे भी संदिग्ध होती हैं। कनेक्शन और उपयोग किए गए प्रोटोकॉल और पोर्ट से मेल नहीं खाने वाले कनेक्शन खोजने के लिए पैकेट की सामग्री की जांच करें।

दूरस्थ सेवाएँ

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: हमलावर नेटवर्क कनेक्शन, जैसे टेलनेट, एसएसएच, या वीएनसी को स्वीकार करने के लिए डिज़ाइन की गई सेवा में लॉग इन करने के लिए वैध खातों का उपयोग कर सकते हैं। इसके बाद, विरोधी लॉग इन करने वाले उपयोगकर्ता की ओर से कार्रवाई करने में सक्षम होगा।

सुरक्षा संबंधी विचार : उन खातों की संख्या सीमित करें जिनका उपयोग दूरस्थ सेवा कर सकती है। जब भी संभव हो मल्टी-कारक प्रमाणीकरण का उपयोग करें। उन खातों के लिए सीमाएं जो समझौता के उच्च जोखिम पर हैं, उदाहरण के लिए, SSH को कॉन्फ़िगर करें ताकि उपयोगकर्ता केवल कुछ प्रोग्राम चला सकें। क्रेडेंशियल एक्सेस तकनीकों को रोकेंजो एक हमलावर को मान्य क्रेडेंशियल प्राप्त करने की अनुमति दे सकता है। दूरस्थ सेवाओं से संबंधित लॉगऑन उपयोग गतिविधि को असामान्य व्यवहार या अन्य दुर्भावनापूर्ण या संदिग्ध गतिविधि से संबंधित करें। नेटवर्क को आगे बढ़ाने का प्रयास करने से पहले, एक हमलावर को पहचान तकनीक का उपयोग करके सिस्टम और सिस्टम के बीच संबंधों के बारे में जानने की आवश्यकता होगी ।

हटाने योग्य मीडिया के माध्यम से प्रतिकृति

सिस्टम: विंडोज
विवरण: तकनीक में विंडोज में ऑटोरन फ़ंक्शन का उपयोग करके एक दुर्भावनापूर्ण प्रोग्राम का निष्पादन शामिल है। उपयोगकर्ता को धोखा देने के लिए, "वैध" फ़ाइल को पूर्व-संशोधित या प्रतिस्थापित किया जा सकता है, और फिर हमलावर द्वारा हटाने योग्य डिवाइस पर कॉपी किया जा सकता है। इसके अलावा, पेलोड को हटाने योग्य डिवाइस के फर्मवेयर में या प्रारंभिक मीडिया प्रारूपण कार्यक्रम के माध्यम से लागू किया जा सकता है।

सुरक्षा सिफारिशें: विंडोज में ऑटोरन सुविधाओं को अक्षम करना। संगठन की सुरक्षा नीति स्तर पर हटाने योग्य उपकरणों के उपयोग को सीमित करना। एंटीवायरस सॉफ़्टवेयर का अनुप्रयोग।

SSH कैप्चर (SSH अपहरण)

सिस्टम: macOS, लिनक्स
विवरण: Secure Shell (SSH) — Linux macOS, , , . , SSH- . - SSH . root- , SSH- . SSH- SSH. SSH (SSH Hijacking) (Remote Services) SSH-, .

:सुनिश्चित करें कि SSH कुंजी जोड़े के पास मजबूत पासवर्ड हैं और यदि वे ठीक से संरक्षित नहीं हैं, तो ssh- एजेंट जैसी कुंजी संग्रहण तकनीकों का उपयोग करने से बचना चाहिए। सुनिश्चित करें कि सभी निजी कुंजियों को उन स्थानों पर सुरक्षित रूप से संग्रहीत किया जाता है जो केवल सही मालिक एक जटिल, अक्सर बदलते पासवर्ड के साथ उपयोग कर सकते हैं। सत्यापित करें कि फ़ाइल अनुमतियाँ सही हैं और सिस्टम को मजबूत करने के लिए रूट विशेषाधिकार को उन्नत करने से रोकती हैं। रूट विशेषाधिकार या अन्य विशेषाधिकार प्राप्त खातों के साथ एसएसएच के माध्यम से दूरस्थ पहुंच की अनुमति न दें। सुनिश्चित करें कि एजेंट अग्रेषण उन प्रणालियों पर अक्षम है जहाँ इसकी स्पष्ट रूप से आवश्यकता नहीं है। यह देखते हुए कि एसएसएच का उपयोग करना अपने आप में वैध हो सकता है, यह नेटवर्क के वातावरण पर निर्भर करता है और इसका उपयोग कैसे किया जाता है,एसएसएच के संदिग्ध या दुर्भावनापूर्ण उपयोग के संकेतक पहुंच और बाद के व्यवहार के विभिन्न पैटर्न हो सकते हैं। उदाहरण के लिए, वे खाते जो सिस्टम में लॉग ऑन करते हैं, जो आमतौर पर थोड़े समय के लिए कई प्रणालियों तक पहुंच या कनेक्ट नहीं करते हैं। यह भी अनुशंसा की जाती है कि आप उपयोगकर्ता SSH एजेंटों की सॉकेट फ़ाइलों को ट्रैक करते हैं जो विभिन्न उपयोगकर्ताओं द्वारा उपयोग की जाती हैं।

जनता से रिश्ता (वेबवार्ता)

सिस्टम: विंडोज
विवरण: -, webroot -, -, . -, , -, . , -. , - PHP c webroot RAT - .

: , , -, - : , , /. , -. (webroot) , -. webroot. , - . , .

यह निर्धारित करने के लिए प्रक्रिया मॉनिटरिंग का उपयोग करें कि वेब सर्वर के लिए फाइल को किस प्रक्रिया से लिखा गया है, जो वेब सर्वर के लिए सामान्य नहीं है या जब फाइलें प्रशासनिक समय अवधि के बाहर लिखी गई हैं। सामान्य प्रक्रियाओं को निर्धारित करने के लिए प्रक्रिया निगरानी का उपयोग करें और बाद में असामान्य प्रक्रियाओं का पता लगाएं जो आमतौर पर वेब सर्वर पर नहीं चलते हैं।

टेंट साझा सामग्री

: Windows
:
: , . , . .

, . ( Shortcut Modification) निर्देशिका (.lnk) का उपयोग करके मस्कारिंग करें ताकि लेबल वास्तविक निर्देशिकाओं की तरह दिखें जो पहले छिपी हुई थीं। दुर्भावनापूर्ण .lnk में एक अंतर्निहित कमांड होती है जो एक छिपी हुई दुर्भावनापूर्ण फ़ाइल को निष्पादित करती है और फिर उपयोगकर्ता द्वारा अपेक्षित वास्तविक निर्देशिका को खोलता है। अक्सर उपयोग की जाने वाली नेटवर्क निर्देशिकाओं में इस तकनीक के कार्यान्वयन से बार-बार बार-बार होने वाले संक्रमण हो सकते हैं और परिणामस्वरूप, एक हमलावर सिस्टम तक व्यापक पहुंच प्राप्त कर सकता है और, संभवतः नए, अधिक विशेषाधिकार प्राप्त खातों में।

सुरक्षा सिफारिशें:लिखित अनुमति के साथ उपयोगकर्ताओं की संख्या को कम करके साझा किए गए फ़ोल्डरों को सुरक्षित रखें। उपयोगिताओं का उपयोग करें जो पहले संकेत पर शोषण का पता लगा सकते हैं या रोक सकते हैं, जैसे कि Microsoft शमन अनुभव टूलकिट (EMET)। वेब-आधारित दस्तावेज़ प्रबंधन और सहयोग सेवाओं का उपयोग करके बग़ल में पदोन्नति के संभावित जोखिम को कम करें जो फ़ाइल और निर्देशिका साझाकरण का उपयोग नहीं करते हैं।

संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें जिनका उपयोग AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल का उपयोग करके भ्रष्ट सामग्री के लिए किया जा सकता है ।
, .LNK , . , , .

Third-party Software ( )

: Windows, Linux, macOS
: , , System
: (SCCM, VNC, HBSS, Altris ..), , , . , . , .

: . , , . . , . , . , , , , .

Windows Admin Shares

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विंडोज सिस्टम में छिपे हुए नेटवर्क फ़ोल्डर हैं जो केवल प्रशासकों के लिए सुलभ हैं और फ़ाइलों और अन्य प्रशासनिक कार्यों को दूरस्थ रूप से कॉपी करने की क्षमता प्रदान करते हैं। विंडोज एडमिन शेयरों के उदाहरण: C $, ADMIN $, IPC $।
विरोधी इस तकनीक का उपयोग सर्वर मेसिज ब्लॉक (SMB) के माध्यम से सिस्टम तक दूरस्थ पहुँच के लिए मौजूदा व्यवस्थापक स्तर के खातों के संयोजन में कर सकते हैं, RPC का उपयोग करने वाले सिस्टम के साथ सहभागिता, फ़ाइलों को स्थानांतरित करें और निष्पादन तकनीकों का उपयोग करके माइग्रेट बाइनरी फ़ाइलों को चलाएं। SMB / RPC के माध्यम से प्रमाणित सत्रों के आधार पर निष्पादन विधियों के उदाहरण अनुसूचित कार्य, सेवा शुरू करना और WMI हैं। विपक्षी पास-टू-हैश के माध्यम से एडमिन शेयरों तक पहुंच प्राप्त करने के लिए NTLM हैश का उपयोग कर सकते हैं। नेट क्रेडेंशियल्स के साथ नेट यूज़ कमांड का इस्तेमाल रिमोट सिस्टम को विंडोज एडमिन शेयर्स से जोड़ने के लिए किया जा सकता है।

सुरक्षा सिफारिशें: विभिन्न प्रणालियों पर स्थानीय व्यवस्थापक खातों के लिए एक ही पासवर्ड का उपयोग न करें। सुनिश्चित करें कि पासवर्ड जटिल और अद्वितीय हैं ताकि उन्हें अनुमान या क्रैक न किया जा सके। अंतर्निहित स्थानीय व्यवस्थापक खाते में दूरस्थ लॉगिन को अक्षम करें। उपयोगकर्ता खातों को कई प्रणालियों के स्थानीय प्रशासक समूह के सदस्य होने की अनुमति न दें।

- , SMB Admin Shares, AppLocker Software Restriction Policies .

. Windows Event Forwarding / , . , Admin Shares. , , Net, , .

Windows Remote Management (WinRM)

: Windows
: ,
: WinRM — , (, , , . winrm , PowerShell.

: WinRM, , WinRM . WinRM , WinRM .