Una cuenta del AD RMS Service Group exporta la clave privada del Server Licensor Certificate de AD RMS. Esa clave de 1172 bytes descifra, sin conexión, cada documento que la implementación haya protegido, y sigue haciéndolo incluso después de reconstruir la implementación.

ldapnomnom afirma que no deja registros de auditoría de Windows. Esta publicación muestra por qué el evento 1644 no detecta LDAP Ping y dónde los defensores aún pueden detectarlo.

Descubre un método para atribuir las consultas de Active Directory Web Services (ADWS), que normalmente parecen originarse en "localhost" en los registros del Evento 1644, a la verdadera dirección IP de origen del atacante. Esto se logra correlacionando el momento del evento de conexión de red entrante (Evento 5156), que contiene la dirección IP real de origen, con el Evento 1644 dentro de una ventana consistente de 60 a 80 ms.

La enumeración de AD mediante PowerShell evade la detección de red al usar ADWS (puerto 9389), registrando la consulta LDAP (Evento 1644) como localhost (::1). La detección de alta fidelidad requiere correlacionar el Evento 1644 con los eventos de conexión de ADWS por Operation ID para revelar el origen remoto y detectar volcados masivos de propiedades indicados por [all_with_list].

SOAPHound usa un patrón de filtro LDAP (!FALSE) que rompe la mayoría de las reglas de detección. La Parte 4 de nuestra serie de ingeniería de detección muestra exactamente cómo buscarlo antes de que los atacantes aprovechen el punto ciego.

SDFlags es un parámetro de LDAP que la mayoría de los defensores pasa por alto en sus registros. También es la forma en que los atacantes enumeran permisos mientras evaden la detección. La parte 3 de nuestra serie cubre lo que encontró Huntress.

La lógica de detección era sólida, las reglas estaban implementadas, y entonces un mensaje de Slack a las 2 a. m. reveló que las variaciones de espacio en blanco en los filtros LDAP estaban rompiendo todo. Lee la Parte 2 de nuestra serie de ingeniería de detección.

La brecha entre cómo luce el código del atacante y lo que realmente registra es donde fallan la mayoría de las detecciones. La Parte 1 empieza leyendo el propio código fuente del atacante.