Diese Zeitachse basiert auf einer realen, anonymisierten APT-Simulation bei einem mittelständischen Unternehmen: rund 1.500 Objekte im Active Directory, flächendeckend installierter EDR-Agent, ein SOC im 8x5-Betrieb. Die Missionsvorgabe war schmal: nachgewiesener Datenabfluss vom HR-Dateiserver. Kein Zero-Day, kein exotisches Tooling – 36 Stunden von der ersten Phishing-Mail bis zur Domänen-Übernahme.
-
Stunde 0
Initial Access (T1566, T1078)
Eine als interne Benachrichtigung gestaltete Phishing-Mail führt auf eine geklonte Login-Seite. Der Nutzer tippt seine gültigen Credentials ein; die MFA-Abfrage wird durchgereicht, statt zu greifen, weil der Zugriff von einem als verwaltet erkannten Gerät kommt. Aus Sicht des SOC: ein normaler Morgen-Login.
-
Stunde 2
Foothold (T1059, T1105)
Auf dem Notebook etabliert ein kleiner, aus dem Speicher heraus gestarteter Implant die Session; nichts davon schreibt auf Platte. Der EDR-Agent läuft auf diesem Gerät im Pass-Through-Modus – es stand während des Onboardings auf einer Ausnahmeliste. Die erste Gelegenheit, die Operation zu stoppen, blieb ungenutzt.
-
Stunde 6
Discovery (T1069, T1087)
Erkundung fast vollständig über Bordmittel: Sitzungen, Freigaben, Rechnerlisten. Dazu ein einziger, als signiert abgelegter Enumerator. Kein Alarm.
-
Stunde 12
Kerberoasting (T1558.003)
Die Tickets der Dienstkonten werden gezogen und offline gebrochen. Eines fällt innerhalb von Minuten: 22 Zeichen, aber aufgebaut nach dem Muster Firmenname plus Jahreszahl. Dienstkonten-Passwörter gehören zu den am seltensten rotierten Geheimnissen in AD-Umgebungen.
-
Stunde 18
Lateral Movement (T1021.001)
Das Dienstkonto ist lokaler Admin auf zwei App-Servern. Der Übergang dorthin erfolgt per RDP. Von dort: Tickets im Speicher, ein Share mit Konfigurationsdateien, ein Backup-Job mit Service-Passwort-Kandidat. Die Segmentierung zwischen Client-, App- und Verwaltungsebene existiert nur auf dem Papier.
-
Stunde 26
Eskalation (T1098, T1003.006)
Eine vergessene Delegierung erlaubt dem Dienstkonto, Gruppen in einer OU zu verwalten. Der Implant-Host wird als Computerkonto in eine privilegierte Betriebsgruppe geschrieben; nach der Replikation folgt DCSync über das neue Konto. Domänen-Admin.
-
Stunde 36
Mission (T1041)
Aus der Domänen-Admin-Position führt ein gerader Weg auf den HR-Dateiserver. 1,4 GB werden staged und über HTTPS in einem 90-minütigen Nacht-Fenster exfiltriert – getarnt als Backup-Traffic.
Im Nachgang mit dem Blue Team betrachtet: Fünf der sieben Schritte wären mit der bereits installierten Infrastruktur alarmierbar gewesen – anomaler Ticket-Verbrauch, neue Mitglieder in privilegierten Gruppen, über Nacht aufgetauchte DCSync-Rechte, die EDR-Ausnahmeliste, Session-Verhalten im Speicher. Es waren Identitäts- und Konfigurationspfade, kombiniert mit fehlender Detektion. Kein Zero-Day, kein exotischer Exploit.
Der Bericht enthielt die vollständige Zeitachse mit allen Indicators of Compromise sowie priorisierte Empfehlungen für Logging, Härtung und Detection Engineering. Die Kernaussage deckt sich mit allem, was wir über Post-Exploitation schreiben: Kontrolle endet nicht bei Access, sondern bei Detection.
Professionelle europäische Security Boutique für Elite Penetration Testing, Red Teaming & Exploit Development.