▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
- Hinweis auf verfuegbaren Angriffscode: poc, proof-of-concept+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine technische Analyse mit pruefbaren Details
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Unmasking SCCM Application Execution
Die Ausführung von Anwendungen über SCCM kann unentdeckt bleiben, da sie andere Artefakte erzeugt als Skriptausführungen. Bestehende Erkennungstools übersehen oft diese "stealthier"-Methoden. Betroffen sind Unternehmen, die SCCM zur Anwendungsbereitstellung nutzen. Es ist entscheidend, die Erkennungsmechanismen anzupassen, um auch diese evasiveren Ausführungsmethoden zu identifizieren.
SecBoard-Einordnung
Die unentdeckte Ausführung von Anwendungen über SCCM kann Angreifern ermöglichen, persistente Zugänge zu etablieren oder bösartige Software auszuführen, ohne von herkömmlichen Erkennungstools erfasst zu werden. Dies erhöht das Risiko für fortgeschrittene Bedrohungen und erschwert die Reaktion auf Vorfälle.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die SCCM-Anwendungsbereitstellung nutzen, um unbemerkt Malware im gesamten Netzwerk zu verteilen, sensible Daten zu exfiltrieren oder weitreichende Systemkompromittierungen durchzuführen, da die Ausführung als legitim erscheint und nicht erkannt wird.
Empfehlung: Organisationen sollten ihre Erkennungsmechanismen und Threat-Hunting-Methoden aktualisieren, um die spezifischen Artefakte der SCCM-Anwendungsausführung zu identifizieren, insbesondere wenn `WmiPrvSE.exe` als übergeordneter Prozess auftritt.
Betroffen
Unternehmen, die SCCM (System Center Configuration Manager) zur Anwendungsbereitstellung nutzen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie Ihre EDR/SIEM-Regeln auf die Erkennung von `WmiPrvSE.exe` als übergeordneten Prozess für unerwartete Kindprozesse, insbesondere solche, die über SCCM bereitgestellt werden könnten.
- ▸Führen Sie eine forensische Analyse von Endpunkten durch, um Artefakte der SCCM-Anwendungsausführung zu identifizieren, die sich von Skriptausführungen unterscheiden.
▸ 1 weitere▾ weniger
- ▸Testen Sie die Fähigkeit Ihrer aktuellen Erkennungstools, "stealthier"-Anwendungsausführungen über SCCM zu erkennen, indem Sie simulierte Bereitstellungen durchführen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der Artikel spezifiziert nicht, welche spezifischen Versionen von SCCM betroffen sind.
- ▸Es werden keine konkreten Beispiele für die Art der bösartigen Anwendungen genannt, die auf diese Weise ausgeführt werden könnten.
- ▸Der Artikel nennt keine spezifischen IOCs oder Signaturen zur Erkennung.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„stealthier"-Methoden“
„Die Ausführung von Anwendungen über SCCM kann unentdeckt bleiben“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.