Hinweis auf verfuegbaren Angriffscode: proof-of-concept+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Finding SOCKS with Proxywatch
TL;DR: Adversaries use SOCKS proxy tunnels to pivot within environments and to execute code against compromised systems without bringing tools to the system. Defenders often lack reliable guidance to detect proxying behavior, falling back to preset rules based on static indicators or process-port...
SecBoard-Einordnung
Die Nutzung von SOCKS-Proxys ermöglicht Angreifern, sich unentdeckt lateral zu bewegen und Befehle auszuführen, was die Erkennung von Kompromittierungen erschwert. Dies kann zu einer längeren Verweildauer von Angreifern im Netzwerk führen.
Realistisch schlimmster Fall: Unbemerkte laterale Bewegung und Code-Ausführung durch Angreifer, die zu einer vollständigen Kompromittierung von Systemen und Daten führen kann, ohne dass forensische Spuren von Tools auf den Zielsystemen hinterlassen werden.
Empfehlung: Implementierung verbesserter Erkennungsmechanismen für SOCKS-Proxy-Verhalten, die über statische Indikatoren hinausgehen, und Überprüfung der Netzwerksegmentierung sowie des Zugriffsmanagements.
Im erfassten Bestand
- ▸9. erfasste Meldung zu Cobalt Strike innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Organisationen, die SOCKS-Proxy-Tunnel in ihren Netzwerken nicht ausreichend überwachen oder deren Erkennungsmechanismen auf statischen Indikatoren basieren.
Prüfen
3- ▸Überprüfen Sie Ihre Netzwerkprotokolle auf ungewöhnliche SOCKS-Verbindungen oder Datenflüsse zu externen oder internen unbekannten Zielen.
- ▸Testen Sie Ihre EDR/XDR-Lösungen auf die Erkennung von SOCKS-Proxy-Aktivitäten, die nicht auf statischen Signaturen basieren.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung der Konfigurationen Ihrer Netzwerk-Perimeter-Geräte durch, um sicherzustellen, dass unerwünschte Proxy-Verbindungen blockiert oder gemeldet werden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Tools oder Exploits, die von Angreifern verwendet werden, sind nicht angegeben.
- ▸Die genauen Branchen oder geografischen Regionen, die am stärksten betroffen sind, sind nicht spezifiziert.
- ▸Es werden keine konkreten IOCs (Indicators of Compromise) genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir VPN extern erreichbar?
- Können wir Command & Control detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„to execute code against compromised systems without bringing tools to the system“
„Adversaries use SOCKS proxy tunnels to pivot within environments“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
1
Zielhandlung
0
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap