Tidslinjen bygger på en virkelig, anonymiseret APT-simulering i en mellemstor virksomhed: omkring 1.500 objekter i Active Directory, EDR på alle enheder, et SOC i hverdagene. Missionsmålet var smalt: påvist dataeksfiltrering fra HR-filserveren. Ingen zero-day, ingen exotiske værktøjer – 36 timer fra den første phishing-mail til overtagelsen af domænet.
-
Time 0
Indledende adgang (T1566, T1078)
En phishing-mail forklædt som en intern meddelelse fører til en klonet login-side. Brugeren indtaster gyldige oplysninger; MFA'en passeres uden at blive udløst, fordi logindet kommer fra en enhed genkendt som administreret. For SOC'en en almindelig morgenlogin.
-
Time 2
Fodfæste (T1059, T1105)
På den bærbare etablerer en lille implant startet fra hukommelsen sessionen; intet skrives til disk. EDR-agenten kører i pass-through-tilstand på enheden – den havde stået på en undtagelsesliste under onboarding. Den første mulighed for at stoppe operationen blev ikke brugt.
-
Time 6
Discovery (T1069, T1087)
Rekognosering næsten udelukkende med indbyggede værktøjer: sessioner, delinger, værtslister. Plus én signeret enumreringsbinær. Ingen alarm.
-
Time 12
Kerberoasting (T1558.003)
Billetterne til tjenestekonti hentes og knækkes offline. En falder inden for få minutter: 22 tegn, men opbygget af virksomhedsnavn plus årstal. Adgangskoder til tjenestekonti er de mindst roterede hemmeligheder i de fleste AD-miljøer.
-
Time 18
Lateral bevægelse (T1021.001)
Tjenestekontoen er lokal administrator på to applikationsservere. Bevægelsen sker via RDP. Derfra: billetter i hukommelsen, en deling med konfigurationsfiler, en backupopgave med et bud på en servisadgangskode. Segmenteringen mellem klient-, applikations- og administrationslag findes kun på papiret.
-
Time 26
Eskalering (T1098, T1003.006)
En glemt delegering giver kontoen lov til at administrere grupper i en OU. Implants computerkonto tilføjes en privilegeret driftsgruppe; efter replikering følger DCSync via den nye konto. Domæneadministrator.
-
Time 36
Mission (T1041)
Fra domæneadministratoren er vejen til HR-serveren lige: 1,4 GB stages og exfiltreres over HTTPS i et 90 minutters natvindue, maskeret som backup-trafik.
Genset med blue team: fem af de syv trin kunne have udløst en alarm med det allerede installerede udstyr – unormal Kerberos-forbrug, nye medlemmer i privilegerede grupper, DCSync-rettigheder der dukker op i løbet af natten, EDR-undtagelsen, sessionens adfærd i hukommelsen. Det var ikke en zero-day, men identitets- og konfigurationsveje kombineret med manglende detektion.
Rapporten indeholdt den fulde tidslinje med alle indicators of compromise og prioriterede anbefalinger til logging, hærdning og detection engineering. Lektien rimer på alt, hvad vi skriver: kontrollen slutter ikke ved adgangen, den slutter ved detektionen.
Professionel europæisk securityboutique til elite-penetrationstestning, red teaming og exploit development.