[Bríñ~géñ S~íé mí~ch zú~ Íhré~m Dóm~äñéñc~óñtr~óllé~r: Só b~éwég~éñ sí~ch Áñ~gréí~fér l~átér~ál dú~rch Í~hré Ú~mgéb~úñg]

[Dáñ G~óúld~ hát á~úch z~ú díé~sém B~éítr~ág bé~ígét~rágé~ñ.]

[Ím érstéñ Téíl díésér Blógséríé hábéñ wír vérschíédéñé Möglíchkéítéñ géséhéñ, wíé éíñ Bédróhúñgsáktéúr díé Díscóvérý-Phásé dés ÁTT&CK-Fráméwórks dúrchführéñ káññ, úm sích ñách éíñér Érstíñféktíóñ éíñ Bíld zú máchéñ. Dádúrch érháltéñ síé wíchtígé Ñétzwérk- úñd Dómäñéñíñfórmátíóñéñ, sélbst mít Stáñdárd-Dómäñéñréchtéñ. Wír hábéñ áúch éíñígé dér vóñ éíñém Dómäñéñcóñtróllér vérwéñdétéñ Kómpóñéñtéñ érwähñt, díé dírékt áñgégrífféñ ódér ím Ráhméñ éíñés Áñgríffs géñútzt wérdéñ köññéñ.]

[Ím Fó~lgéñ~déñ w~érdé~ñ wír~ ñähér~ dárá~úf éí~ñgéh~éñ, úm~ Béís~píél~é für Á~ñgrí~ffé ú~ñd Tó~óls z~ú zéí~géñ, d~íé gé~géñ d~íésé~ Kómp~óñéñ~téñ é~íñgé~sétz~t wér~déñ k~öññéñ~, úm dí~é ñäch~sté P~hásé~ éíñé~s Áñg~ríff~s áús~zúfüh~réñ: d~íé lá~térá~lé Bé~wégú~ñg.]

[Mít díéséñ ñützlíchéñ Íñfórmátíóñéñ, wíé déñéñ, díé ím vórhérígéñ Béítrág íñ dér Érkéññúñgsphásé gézéígt wúrdéñ, káññ dér Bédróhúñgsáktéúr ñúñ gétróst vérsúchéñ, sích áúf dém Pfád zúm Dómäñéñcóñtróllér zú béwégéñ. Úm íhr éígéñtlíchés Zíél zú érréíchéñ, béñötígéñ síé jédóch díé érfórdérlíchéñ Áñméldéíñfórmátíóñéñ, Íñfórmátíóñéñ zú Zwíschéñzíélsýstéméñ úñd Kómpóñéñtéñ sówíé díé éñtspréchéñdéñ Áñgríffstóóls.]

[ÁTT&C~K: Séí~tlíc~hé Bé~wégú~ñg]

[Séítlíché Béwégúñgéñ, íñsbésóñdéré íñ éíñér Wíñdóws-Dómäñé, köññéñ áúf zwéí Ébéñéñ áúftrétéñ. Érstéñs díé Áñwéñdúñgsébéñé, áúf dér dér Áñgréífér áúf Áñméldéíñfórmátíóñéñ básíéréñdé Téchñíkéñ wíé Páss-thé-Hásh ódér Páss-thé-Tíckét vérwéñdéñ káññ, díé wíédérúm díé Ñétzwérkébéñé ñútzéñ, úm áúf dém Wég zúm Éñdzíél, íñ díésém Fáll dém Dómäñéñcóñtróllér, tátsächlích vóñ Cómpútér zú Cómpútér zú géláñgéñ.]

[Díés~ bríñ~gt úñ~s zú T~échñ~íkéñ~, díé á~úf Áñ~méld~éíñf~órmá~tíóñ~éñ bá~síér~éñ.]

[Áúf R~éfér~éñzé~ñ bás~íéré~ñdé T~échñ~íkéñ~ für lá~térá~lé Bé~wégú~ñgéñ~]

[Éhrl~ích g~éság~t íst~ dér D~ómäñé~ñcóñ~tról~lér í~ñ dér~ Régé~l ñúr~ éíñé~ Éíñg~ábéá~úffó~rdér~úñg é~ñtfé~rñt, s~óbál~d díé~ Áñmé~ldéí~ñfór~mátí~óñéñ~ für dé~ñ Dóm~äñéñá~dmíñ~ístr~átór~ áúfg~édéc~kt wú~rdéñ~.]

[Áñgréífér vérsúchéñ, Áñméldéíñfórmátíóñéñ zú spéíchérñ, díé áñ gäñgígéñ Spéíchérórtéñ zwíschéñgéspéíchért síñd, z. B. ím Lócál Sécúrítý Áúthórítý Súbsýstém Sérvícé (LSÁSS), dér zúr Áúthéñtífízíérúñg vóñ Béñútzérñ, Áñméldúñgéñ úñd Béréchtígúñgéñ úñtér Wíñdóws vérwéñdét wírd. Wárúm wérdéñ Áñméldéíñfórmátíóñéñ (Hásh-Pásswörtér/Tíckéts) ím Spéíchér géspéíchért¿ Béí Síñglé Sígñ-Óñ müsséñ sích Béñútzér ñícht stäñdíg ñéú áúthéñtífízíéréñ.]

[Wéññ Áñgréífér Glück hábéñ, kómprómíttíéréñ síé éíñ Sýstém, béí dém frühéré Ádmíñ-Lógíñs ím Spéíchér vérbléíbéñ. Díésé Áñméldédátéñ köññéñ mít Mímíkátz ódér ähñlíchéñ LSÁSS-Spéíchérprüfúñgswérkzéúgéñ héráúsgéhólt wérdéñ. Wíé Síé íñzwíschéñ wísséñ, érmöglíchéñ Mímíkátz úñd ähñlíché Tóóls Bédróhúñgsáktéúréñ, Áúthéñtífízíérúñgsdátéñ wíé ÑTLM-Háshés úñd Kérbérós-Tíckétíñfórmátíóñéñ áús dém Kérñélspéíchér éíñés láúféñdéñ Cómpútérs zú fíñdéñ úñd zú éxtráhíéréñ, dér vóñ LSÁSS vérwéñdét wírd.]

[Dás f~ólgé~ñdé B~éísp~íél z~éígt~ dás D~úmpí~ñg vó~ñ Áñm~éldé~íñfó~rmát~íóñé~ñ mít~ Mímí~kátz~.]

[Íñ déñ méístéñ Fälléñ múss dás áñfäñglích kómprómíttíérté Kóñtó ñúr éíñ lókálés Ádmíñístrátórkóñtó áúf dém Wíñdóws-Cómpútér séíñ, úm Tóóls wíé Mímíkátz érfólgréích áúsführéñ zú köññéñ. Dás bédéútét, dáss és übér díé ñótwéñdígéñ Réchté wíé dás Wíñdóws-Débúg-Récht vérfügt, úm déñ Kérñél ódér déñ prívílégíértéñ Spéíchér für béstímmté wíchtígé Wíñdóws-Prózéssé wíé LSÁSS zú léséñ. Wíé béréíts érwähñt, síñd Wíñdóws-Dómäñéñ íñ hóhém Máßé áúf Síñglé-Sígñ-Óñ-Fúñktíóñéñ áñgéwíéséñ, úm Béñútzérñ úñd Cómpútérñ, díé Réssóúrcéñ íñ dér gésámtéñ Dómäñé áñfórdérñ, éíñ ñáhézú ñáhtlósés Érlébñís zú bíétéñ. Úm díés áúf éíñfáché Wéísé zú érmöglíchéñ, ñútzt Wíñdóws díé Möglíchkéít, Hásh-Áñméldéíñfórmátíóñéñ ím Árbéítsspéíchér zú spéíchérñ. Béí ältéréñ Vérsíóñéñ wérdéñ Klártéxt-Kéññwörtér ím Spéíchér géspéíchért. Díés íst éíñé dér wíchtígstéñ Méthódéñ, mít déñéñ Tóóls wíé Mímíkátz ÑTLM-Háshés úñd íñ éíñígéñ Fälléñ áúch Klártéxt-Pásswörtér für Téchñíkéñ wíé Páss-thé-Hásh- úñd Páss-thé-Tíckét-Áñgríffé ábrúféñ köññéñ.]

[Só sí~éht d~ás Dú~mpíñ~g vóñ~ Kérb~érós~-Tíck~éts á~ús dé~m Spé~íché~r áús~:]

[Éíñ wéítérés Tóól, dás für Áñgríffé ím Zúsámméñháñg mít Kérbérós-Tíckéts vérwéñdét wérdéñ káññ, íst Rúbéús. És vérfügt übér Fúñktíóñéñ wíé Kérbérós-Tíckétáñfrágéñ, díé éíñ Tíckét-Gráñtíñg-Tíckét (TGT) ábrúféñ, dás áúf dém Pásswórt/Hásh éíñés Béñútzérs íñ éíñér Íñstáñz ódér áúf dér Grúñdlágé dés Zértífíkátsspéíchérs éíñés Béñútzérs básíért. Rúbéús káññ áúch vérwéñdét wérdéñ, úm díé éíñgéschräñkté Délégíérúñg íñ Wíñdóws-Dómäñéñ zú míssbráúchéñ, íñdém éíñé éíñgéschräñkté Sérvícé-fór-Úsér (S4Ú) -Délégíérúñg íññérhálb éíñér béstímmtéñ Dómäñé ódér sógár dómäñéñübérgréíféñd íñ éíñém Fórést dúrchgéführt wírd.]

[Ím fólgéñdéñ Béíspíél köññéñ wír séhéñ, dáss dér Bédróhúñgsáktéúr íñ dér Lágé íst, Hásh-Íñfórmátíóñéñ zú Áñméldéíñfórmátíóñéñ áús dém Spéíchér zú spéíchérñ úñd éíñéñ béstímmtéñ Kóñtóñáméñ zú lókálísíéréñ, dér áls Ádmíñístrátórkóñtó ídéñtífízíért wúrdé. Díésés Kóñtó wírd vórháñdéñ séíñ, wéíl és sích írgéñdwáññ áúf díésém Cómpútér áñgéméldét hätté.]

[Díés~ér sp~ézíé~llé D~úmp é~ñthäl~t áúc~h Íñf~órmá~tíóñ~éñ wí~é déñ~ Áñmé~ldés~érvé~r íñ d~ér Dó~mäñé. D~íés k~áññ á~ñháñ~d dér~ Íñfó~rmát~íóñé~ñ bés~tätíg~t wér~déñ, d~íé wäh~réñd~ dér É~rkéñ~ñúñg~sphá~sé zú~r Bés~tätíg~úñg d~és Zí~éldó~mäñéñ~cóñt~róll~érs g~ésám~mélt~ wúrd~éñ.]

[Ím fólgéñdéñ Béíspíél áús dém „és ádmíñ“ Kóñtó-ÑTLM-Hásh, dér zúvór áúsgégébéñ wúrdé. Wír kóññtéñ díéséñ Hásh wéítérgébéñ, úm éíñéñ ñéúéñ Wíñdóws-cmd-Prózéss mít dém érhöhtéñ Ádmíñístrátórbéréchtígúñgstókéñ zú stártéñ. Dás bédéútét, dáss dér ñéúé cmd-Prózéss Áktíóñéñ ím Kóñtéxt éíñés prívílégíértéñ Kóñtós áúsführéñ káññ, óbwóhl dér tátsächlích áñgéméldété Béñútzér möglíchérwéísé ñúr lókálé Ádmíñístrátórréchté áúf dém kómprómíttíértéñ Cómpútér hát.]

[Díésér ñéúé Prózéss wírd mít dém érhöhtéñ Tókéñ vóñ „ítádmíñ“ áúsgéführt, wás bédéútét, dáss wír íhñ vérwéñdéñ köññéñ, úm áñdéré RÁS-Tóóls áúszúführéñ, úm déñ Dómäñéñcóñtróllér übér dás Ñétzwérk áñzúvísíéréñ úñd éíñé Vérbíñdúñg zú íhm hérzústélléñ. Íñ dér Ábbíldúñg úñtéñ séhéñ wír, dáss ñách éíñém érfólgréíchéñ Páss-thé-Hásh-Áñgríff éíñ sékúñdärés Tóól wíé dás vóñ Pówér Ádmíñ PÁÉxéc káññ vérwéñdét wérdéñ, úm déñ Rést dés Áñgríffs fórtzúsétzéñ, íñdém éíñé Rémótévérbíñdúñg zúm Dómäñéñcóñtróllér hérgéstéllt wírd. Dér Béféhl hóstñámé ím Bíld béstätígt díé érfólgréíché látérálé Béwégúñg sówóhl áúf Áñwéñdúñgs- áls áúch áúf Ñétzwérkébéñé.]

[Wír köññéñ díé láúféñdéñ Díéñsté áúf dém Dómäñéñcóñtróllér-Cómpútér übérprüféñ, úm síchérzústélléñ, dáss PÁÉxéc éíñé Vérbíñdúñg mít éíñém éñtspréchéñdéñ Prózéss hérgéstéllt hát. Díé Páss-thé-Hásh-Téchñík, mít dér dás Ádmíñístrátór-Élévátíóñs-Tókéñ áúf dém kómprómíttíértéñ Láptóp érzéúgt wúrdé úñd dás dáññ zúr Áúsführúñg dés PÁÉxéc-Rémótévérwáltúñgstóóls vérwéñdét wúrdé, wár érfólgréích, wíé íñ dér Ábbíldúñg úñtéñ gézéígt.]

[Díés íst éíñé éíñfáché Démóñstrátíóñ, wíé sích Áñgréífér vóñ dér Áñwéñdúñgsébéñé (Díébstáhl vóñ Áñméldéíñfórmátíóñéñ ím Prózéssspéíchér) zúr Ñétzwérkébéñé (SMB, MSRPC ódér HTTP Máchíñé Trávérsál) béwégéñ köññéñ, úm dás éígéñtlíché Zíél zú érréíchéñ — déñ Dómäñéñcóñtróllér.]

[ÁTT&C~K: Wír~kúñg~]

[Zú díésém Zéítpúñkt, ñáchdém dér Áñgréífér déñ Dómäñéñcóñtróllér érréícht hát, íst ér véráñtwórtlích. Síé köññéñ dámít fórtfáhréñ, wéítéré schädlíché Dátéíéñ áús dér Férñé áúf déñ Dómäñéñcóñtróllér zú kópíéréñ. Zúm Béíspíél köññtéñ síé jétzt Mímíkátz áúf déñ Dómáíñ-Cóñtróllér kópíéréñ úñd dámít — zúsätzlích zú áñdéréñ Dómáíñ-Íñfórmátíóñéñ — déñ Hásh dés íñtégríértéñ KRBTGT-Béñútzérkóñtós éxtráhíéréñ, úm déñ Góldéñ Tíckét-Áñgríff zú stártéñ. Díés káññ dáññ für Páss-thé-Tíckét-Áñgríffé áúf díé gésámté Dómáíñ vérwéñdét wérdéñ.]

[Dér Áñgréífér káññ sógár díé béréíts vórháñdéñéñ Tóóls vérwéñdéñ úñd vóm Láñd lébéñ, úm só étwás wíé Ráñsómwáré éíñzúsétzéñ úñd éíñé Vérbíñdúñg zú áñdéréñ séñsíbléñ Sérvérñ wíé Dátéñbáñk- ódér Áñwéñdúñgssérvérñ hérzústélléñ, úm Dátéñ wéítér zú éxfíltríéréñ. Díés köññté PsÉxéc, PówérShéll, SCCM séíñ — jédés ÍT-Ádmíñístrátíóñstóól, dás Sóftwáré béréítstélléñ káññ.]

[Jé ñách Ráffíñéssé dés Áñgríffs káññ éíñ Áñgréífér állé béñútzérdéfíñíértéñ Tóóls vérwéñdéñ ódér Códé ñúr ím Spéíchér áúsführéñ, sódáss díé Sígñátúráñálýsé vóñ Tóóls wíé Mímíkátz für állé Síchérhéítstóóls schwíéríg zú érkéññéñ úñd zú vérhíñdérñ íst. Íñ ähñlíchér Wéísé káññ díé Vérháltéñsáñálýsé áúch réssóúrcéñíñtéñsív séíñ, sódáss díésé Áñálýsétéchñíkéñ möglíchérwéísé déáktívíért wérdéñ, íñsbésóñdéré íñ Sérvérúmgébúñgéñ ódér ältéréñ Bétríébssýstéméñ, áúf déñéñ ältéré krítísché Áñwéñdúñgéñ áúsgéführt wérdéñ.]

[Schá~úéñ S~íé sí~ch úñ~séré~ñ ñäch~stéñ~ Béít~rág á~ñ, íñ d~ém dí~é Máßñ~áhmé~ñ zúr~ Ábwé~hr dí~ésér~ Áñgr~íffé~ úñté~rsúc~ht wé~rdéñ~.]