Deze tijdlijn is gebaseerd op een echte, geanonimiseerde APT-simulatie bij een middelgroot bedrijf: ongeveer 1.500 objecten in Active Directory, EDR op elke werkplek, een SOC op kantooruren. De missieopdracht was smal: aangetoonde data-exfiltratie van de hr-bestandsserver. Geen zero-day, geen exotische tools – 36 uur van de eerste phishing-mail tot de overname van het domein.
-
Uur 0
Initial access (T1566, T1078)
Een phishing-mail vermomd als interne melding leidt naar een gekloonde inlogpagina. De gebruiker typt geldige inloggegevens; de MFA-controle wordt doorgesluisd in plaats van afgedwongen, omdat de login van een als beheerd herkend apparaat komt. Voor het SOC een gewone ochtendlogin.
-
Uur 2
Foothold (T1059, T1105)
Op de laptop opent een kleine implant, vanuit het geheugen gestart, de sessie; er wordt niets naar de schijf geschreven. De EDR-agent draait op dit apparaat in pass-through-modus – het stond tijdens de onboarding op een uitzonderingslijst. De eerste kans om de operatie te stoppen bleef onbenut.
-
Uur 6
Discovery (T1069, T1087)
Verkenning vrijwel volledig met boordmiddelen: sessies, shares, hostlijsten. Plus één als signed neergelegde enumeratie-binary. Geen alarm.
-
Uur 12
Kerberoasting (T1558.003)
De tickets van serviceaccounts worden opgehaald en offline gekraakt. Eén valt binnen enkele minuten: 22 tekens, maar opgebouwd uit de bedrijfsnaam plus het jaartal. Serviceaccount-wachtwoorden behoren tot de minst geroteerde geheimen in AD-omgevingen.
-
Uur 18
Laterale beweging (T1021.001)
Het serviceaccount is lokale beheerder op twee applicatieservers. De overgang gebeurt via RDP. Vandaar: tickets in geheugen, een share met configuratiebestanden, een backup-taak met een kandidaat-servicewachtwoord. Segmentering tussen cliënt-, applicatie- en beheerslaag bestaat alleen op papier.
-
Uur 26
Escalatie (T1098, T1003.006)
Een vergeten delegatie geeft het serviceaccount groepsbeheer in één OU. De computeraccount van de implant wordt in een privileges beheersgroep gezet; na replicatie volgt DCSync via de nieuwe account. Domeinbeheerder.
-
Uur 36
Missie (T1041)
Vanaf de domeinbeheerder is de weg naar de hr-server recht: 1,4 GB wordt gestaged en via HTTPS geëxfiltreerd in een 90 minuten durend nachtelijk venster, gecamoufleerd als backup-verkeer.
Terugkijkend met het blue team: vijf van de zeven stappen waren alarmeerbaar met de reeds aanwezige middelen – abnormaal Kerberos-gebruik, nieuwe leden in privileges groepen, DCSync-rechten die 's nachts verschijnen, de EDR-uitzonderingslijst, sessiegedrag in het geheugen. Het waren identiteits- en configuratiepaden gecombineerd met ontbrekende detectie. Geen zero-day, geen exotische exploit.
Het rapport bevatte de volledige tijdlijn met alle indicators of compromise en geprioriteerde aanbevelingen voor logging, hardening en detection engineering. De les rijmt op alles wat we schrijven: controle eindigt niet bij access, maar bij detectie.
Professionele Europese securityboutique voor elite-penetrationstests, red teaming & exploit development.