Organisationen sollten GhostHound nutzen, um Risiken im Zusammenhang mit der Wiederherstellung gelöschter Konten zu identifizieren und zu mindern.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ghosthound — GhostHound is a BloodHound OpenGraph extension that surfaces Active Directory tombstone reanimation as a first-class attack path, enumerating deleted objects via SHOW_DELETED, mapping who can restore them, and revealing when a reanimated identity regains privileged group membership.
GhostHound is a BloodHound OpenGraph extension that surfaces Active Directory tombstone reanimation as a first-class attack path, enumerating deleted objects via SHOW_DELETED, mapping who can restore them, and revealing when a reanimated identity regains privileged group membership. · Sprache: Rust · Topics: active-directory, active-directory-security, attack-path, bloodhound, infosec, ldap · ⭐ 10 Stars
SecBoard-Einordnung
Die Erweiterung deckt eine bisher weniger beachtete Angriffsfläche im Active Directory auf, bei der gelöschte, möglicherweise kompromittierte Konten wiederhergestellt und erneut privilegierten Gruppen zugeordnet werden können. Dies ermöglicht Angreifern eine Persistenz und Privilegieneskalation.
Realistisch schlimmster Fall: Ein Angreifer könnte ein zuvor gelöschtes, kompromittiertes privilegiertes Konto wiederherstellen, um unautorisierten Zugriff auf kritische Systeme zu erhalten und seine Rechte im Netzwerk zu eskalieren, ohne dass dies durch Standardüberwachung erkannt wird.
Empfehlung: Organisationen sollten GhostHound nutzen, um Risiken im Zusammenhang mit der Wiederherstellung gelöschter Konten zu identifizieren und zu mindern. Dies beinhaltet die Überprüfung von Berechtigungen zur Wiederherstellung von Objekten und die Überwachung von Änderungen an Gruppenmitgliedschaften gelöschter/wiederhergestellter Konten.
Betroffen
Organisationen, die Active Directory nutzen.
Prüfen
3- ▸Überprüfen Sie, welche Benutzer oder Gruppen die Berechtigung 'Reanimate Tombstone' (oder ähnliche Berechtigungen zur Wiederherstellung gelöschter Objekte) in Active Directory besitzen.
- ▸Implementieren Sie eine Überwachung für die Wiederherstellung gelöschter Active Directory-Objekte und für Änderungen an der Gruppenmitgliedschaft von wiederhergestellten Konten.
▸ 1 weitere▾ weniger
- ▸Führen Sie regelmäßige Audits der Active Directory-Berechtigungen durch, insbesondere für privilegierte Gruppen, um sicherzustellen, dass keine unnötigen Wiederherstellungsrechte vergeben sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen CVEs oder Exploits mit dieser Methode verbunden sind.
- ▸Es werden keine spezifischen betroffenen Branchen oder geografischen Regionen genannt.
- ▸Es werden keine konkreten Angreifergruppen oder Kampagnen genannt, die diese Technik aktiv nutzen.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„reanimated identity regains privileged group membership“
„enumerating deleted objects via SHOW_DELETED, mapping who can restore them“
„reanimated identity regains privileged group membership“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- ghosthound — GhostHound is a BloodHound OpenGraph extension that surfaces Active Directory tombstone reanimation as a first-class attack path, enumerating deleted objects via SHOW_DELETED, mapping who can restore them, and revealing when a reanimated identity regains privileged group membership.
- AD-PathFinder — Attack path mapping for Active Directory, ADCS, SCCM, and MSSQL using BloodHound CE + OpenGraph data.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.