Захват домена
Как забытый внутренний веб-сервис открыл атакующим путь во все предприятия корпорации
Как развивалась атака
Атака началась с забытого внутреннего сервиса. Через несколько шагов злоумышленники получили контроль над доменом предприятия, а затем — доступ к другим организациям корпорации.
Атака на забытый сервис Точка входа
Устаревший внутренний веб-сервис без сопровождения и обновлений
Выполнение кода
Уязвимость в сервисе позволяет запускать команды на сервере
Закрепление в сети
Атакующие закрепляются на сервере и перемещаются по сети предприятия
Кража паролей
Атака на Active Directory: извлечены пароли пользователей и учётные данные домена
Захват домена
Полный контроль над доменом и инфраструктурой предприятия
Распространение по корпорации Последствие
Через сетевую связность атака переходит на другие предприятия
Что мы сделали
Восстановили цепочку атаки — от устаревшего веб-сервиса до контроля над доменом — и определили, на каких этапах защита не сработала. Передали рекомендации по мерам, которые закрывают этот сценарий.
Задача
Злоумышленники получили полный контроль над доменом одного из предприятий корпорации, а затем атака перешла на другие организации внутри неё. Нужно было понять, как они попали внутрь, какой путь прошли и что закрыть, чтобы сценарий не повторился.
Решение
- Нашли точку входа: устаревший внутренний веб-сервис, который давно никто не сопровождал и не обновлял.
- Восстановили, как через уязвимость сервиса атакующие получили выполнение кода на сервере, закрепились и стали перемещаться между серверами.
- Проверили инфраструктуру Active Directory: как были извлечены пароли пользователей и получен полный контроль над доменом.
- Разобрали сетевую связность между предприятиями, через которую атака распространилась на другие организации корпорации.
- Подготовили рекомендации и план: что закрыть сразу, а что перестроить в ближайшие месяцы.
Где атаку можно было остановить
Каждый шаг цепочки — возможность её прервать. Этот сценарий закрывают меры, которые мы рекомендовали:
- Учёт внутренних сервисов: обновить, изолировать или отключить всё, что никто не сопровождает
- Регулярная проверка на уязвимости не только периметра, но и внутренней сети
- Защита Active Directory: отдельные учётные записи для администрирования, уникальные сложные пароли служебных учёток, контроль привилегий
- Мониторинг подозрительной активности в домене и на серверах
- Сегментация сети между предприятиями: доступ только к тем системам, которые действительно нужны
Что создадим вместе?
Расскажите, что хотите запустить или улучшить. Обсудим задачу и предложим следующий шаг.