Tidslinjen bygger på en virkelig, anonymisert APT-simulering i en mellomstor bedrift: omkring 1 500 objekter i Active Directory, EDR overalt, et SOC i kontortid. Oppdraget var smalt: påvist dataeksfiltrering fra HR-filserveren. Ingen zero-day, ingen eksotiske verktøy – 36 timer fra den første phishing-e-posten til overtakelsen av domenet.
-
Time 0
Innledende tilgang (T1566, T1078)
En phishing-e-post utkledd som en intern varsling leder til en kopiert innloggingsside. Brukeren skriver inn gyldige pålogginger; MFA-en passeres uten å utløses, fordi innloggingen kommer fra en enhet gjenkjent som administrert. For SOC-en en helt vanlig morgeninnlogging.
-
Time 2
Fotfeste (T1059, T1105)
På den bærbare etablerer en liten implant startet fra minnet sesjonen; ingenting skrives til disk. EDR-agenten kjører i pass-through-modus på enheten – den hadde stått på en unntaksliste under onboarding. Første mulighet til å stoppe operasjonen ble ikke brukt.
-
Time 6
Discovery (T1069, T1087)
Rekognosering nesten utelukkende med innebygde verktøy: sesjoner, delinger, vertslister. Plus én signert enummeringsbinær. Intet varsel.
-
Time 12
Kerberoasting (T1558.003)
Billettene til tjenestekontoene hentes og knekkes offline. Én faller i løpet av minutter: 22 tegn, men bygget av bedriftsnavn pluss årstall. Passordene for tjenestekontoer er de minst roterte hemmelighetene i de fleste AD-miljøene.
-
Time 18
Lateral bevegelse (T1021.001)
Tjenestekontoen er lokal administrator på to applikasjonsservere. Bevegelsen skjer via RDP. Derfra: billetter i minnet, en deling med konfigurasjonsfiler, en backupjobb som gir en kandidat til tjenestepassordet. Segmenteringen mellom klient-, applikasjons- og administrasjonsnivået finnes bare på papiret.
-
Time 26
Eskalering (T1098, T1003.006)
En glemt delegering lar kontoen forvalte grupper i en OU. Datamaskinkontoen til implanten legges i en privilegert driftsgruppe; etter replikering følger DCSync via den nye kontoen. Domeneadministrator.
-
Time 36
Oppdrag (T1041)
Fra domeneadministrator er veien til HR-serveren rett: 1,4 GB lastes opp og exfiltreres over HTTPS i et 90 minutter langt nattvindu, kamuflert som backup-trafikk.
Sett i bakspeilet med blått team: fem av de syv trinnene kunne varslet med allerede installerte verktøy – unormalt Kerberos-bruk, nye medlemmer i priviligerte grupper, DCSync-rettigheter som dukker opp i løpet av natten, EDR-unntaket, atferden til sesjonen i minnet. Det var verken en zero-day eller en eksotisk eksploit, men identitets- og konfigurstier kombinert med uteblitt varsling.
Rapporten inneholdt den komplette tidslinjen med alle indikatorer på kompromittering og prioriterte anbefalinger for logging, herding og detection engineering. Leksjonen rimer med alt vi skriver: kontrollen slutter ikke ved tilgangen, den slutter ved varslingen.
Profesjonell europeisk security boutique for elite-penetrasjonstesting, red teaming og exploit development.