Tidslinjen bygger på en verklig, anonymiserad APT-simulering i ett mellanstort företag: cirka 1 500 objekt i Active Directory, EDR på alla endpoints, ett SOC under kontorstid. Uppdraget var snävt: påvisad dataexfiltrering från HR-filservern. Ingen zero-day, inga exotiska verktyg – 36 timmar från första nätfiskebrevet till domänövertagandet.
-
Timme 0
Initial åtkomst (T1566, T1078)
Ett nätfiskemeddelande utklätt till en intern avisering leder till en klonad inloggningssida. Användaren skriver in giltiga uppgifter; MFA:t passerar utan att utlösas eftersom inloggningen kommer från en enhet som känns igen som hanterad. För SOC ett vanligt morgonlogn.
-
Timme 2
Fotfäste (T1059, T1105)
På bärbara datorn etablerar en liten implant, startad ur minnet, sessionen; ingenting skrivs till disk. EDR-agenten körs i pass-through-läge på enheten – den stod på en undantagslista under onboardingen. Den första chansen att stoppa operationen togs inte.
-
Timme 6
Discovery (T1069, T1087)
Spaning nästan helt med inbyggda verktyg: sessioner, delningar, värdlistor. Plus en enda signerad enumreringsbinär. Inget larm.
-
Timme 12
Kerberoasting (T1558.003)
Biljetterna till tjänstekontona hämtas och knäcks offline. Ett faller inom minuter: 22 tecken, men uppbyggt av företagsnamn plus år. Lösenorden för tjänstekontona är de minst roterade hemligheterna i de flesta AD-miljöer.
-
Timme 18
Lateral rörelse (T1021.001)
Tjänstekontot är lokal administratör på två applikationsservrar. Flytten sker via RDP. Därifrån: biljetter i minnet, en delning med konfigurationsfiler, ett jobb som lämnar ett kandidatlösenord för en tjänst. Segmenteringen mellan klient-, applikations- och ledningsnivå finns bara på papperet.
-
Timme 26
Eskalering (T1098, T1003.006)
En bortglömd delegering låter kontot hantera grupper i en OU. Datorns konto läggs in i en privilegierad driftgrupp; efter replikeringen följer DCSync via det nya kontot. Domänadministratör.
-
Timme 36
Uppdrag (T1041)
Från domänadministratören är vägen till HR-servern rak: 1,4 GB plockas ihop och exfiltreras över HTTPS inom ett 90-minuters nattfönster, förklätt till backup-trafik.
Bakåtläst med blått team: fem av de sju stegen hade kunnat larma med redan installerade verktyg – onormal Kerberos-förbrukning, nya medlemmar i privilegierade grupper, DCSync-rättigheter som dyker upp över en natt, EDR-undantaget, sessionens beteende i minnet. Det var varken en zero-day eller en exotisk exploit, utan identitets- och konfigurationssökvägar kombinerade med utebliven detektion.
Rapporten innehöll den fullständiga tidslinjen med alla indicators of compromise och prioriterade rekommendationer för loggning, härdning och detection engineering. Lärden rimmar med allt vi skriver: kontrollen slutar inte vid åtkomsten, den slutar vid detektionen.
Professionell europeisk securityboutique för elite-penetrationstestning, red teaming och exploit development.