Implementieren und verstärken Sie die Überwachung auf die Erstellung neuer lokaler Benutzerkonten, insbesondere solcher mit Administratorrechten.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
AddUser-SAMR — Create local administrators with the SAMR API (lowest-level technique). Implemented in C#, Crystal, Python and Rust
Create local administrators with the SAMR API (lowest-level technique). Implemented in C#, Crystal, Python and Rust · Sprache: C# · Topics: add-user, malware-development, red-team, redteam-tools, samr · ⭐ 95 Stars
SecBoard-Einordnung
Dieses Tool bietet eine neue Methode zur Privilegieneskalation, indem es die Erstellung lokaler Administratoren ermöglicht. Es kann von Angreifern genutzt werden, um nach einem ersten Zugriff dauerhaften und hochprivilegierten Zugang zu Systemen zu erhalten.
Realistisch schlimmster Fall: Ein Angreifer, der bereits Zugriff auf ein System hat, könnte ein lokales Administratorkonto erstellen, um die Kontrolle über das System zu übernehmen, Sicherheitsmaßnahmen zu umgehen und weitere bösartige Aktivitäten durchzuführen, ohne dass dies sofort erkannt wird.
Empfehlung: Implementieren und verstärken Sie die Überwachung auf die Erstellung neuer lokaler Benutzerkonten, insbesondere solcher mit Administratorrechten. Überprüfen Sie regelmäßig vorhandene lokale Administratorkonten auf Legitimität.
Betroffen
Alle Organisationen, die Windows-Systeme betreiben, sind potenziell betroffen, da die SAMR-API eine Standardkomponente ist.
Prüfen
3- ▸Überprüfen Sie Ihre SIEM-Regeln und Protokollquellen, um sicherzustellen, dass die Erstellung neuer lokaler Benutzerkonten, insbesondere mit Administratorrechten, protokolliert und alarmiert wird.
- ▸Führen Sie eine Überprüfung Ihrer lokalen Administratorkonten durch, um nicht autorisierte oder unbekannte Konten zu identifizieren.
▸ 1 weitere▾ weniger
- ▸Testen Sie die Erkennung von Prozessen, die die SAMR-API für die Benutzerkontenerstellung nutzen, um festzustellen, ob Ihre aktuellen Überwachungstools dies erkennen können.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen Protokollereignisse oder Event-IDs mit der Nutzung der SAMR-API für die Benutzerkontenerstellung verbunden sind.
- ▸Es wird nicht spezifiziert, welche spezifischen Betriebssystemversionen oder Konfigurationen anfälliger für diese Technik sind.
- ▸Es wird nicht spezifiziert, ob es spezifische Signaturen oder Verhaltensmuster gibt, die über die reine Kontoerstellung hinausgehen und die Nutzung dieses Tools identifizieren könnten.
MITRE ATT&CK(1)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Ein neues Tool namens AddUser-SAMR ermöglicht Angreifern, lokale Administratoren über die SAMR-API zu erstellen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- AutoPtT — Automated Pass-the-Ticket (PtT) attack. Standalone alternative to Rubeus and Mimikatz for this attack. Implemented in C#, C++, Crystal, Python and Rust
- AddUser-SAMR — Create local administrators with the SAMR API (lowest-level technique). Implemented in C#, Crystal, Python and Rust
- SAMDump — Extract the SAM and SYSTEM hives using the Volume Shadow Copy (VSS) API. With exfiltration and XOR obfuscation options. Implemented in C#, C++, Crystal and Python
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.