Nach einem erfolgreichen Erstzugriff ist die seitliche Ausbreitung das oberste Ziel eines Angreifers. Sobald lokale Administratorrechte oder kompromittierte Domänen-Anmeldedaten vorliegen, greifen Ransomware-Akteure bevorzugt auf die MITRE ATT&CK-Technik T1021.002 (SMB / Windows Admin Shares) zurück. Ohne automatisierte Reaktionsmechanismen, die im Subsekundenbereich intervenieren, führt die Kompromittierung eines einzelnen Endpunkts innerhalb weniger Minuten zur flächendeckenden Infiltration des gesamten Netzwerks.
Angriffsmechanik: Von administrativen Freigaben zur Dienstausführung
Die Ausnutzung administrativer Freigaben (wie C$ oder ADMIN$) nutzt legitime Windows-Funktionen aus. Ein authentifizierter Angreifer lädt über das SMB-Protokoll (Port 445) Schadcode hoch, der auf der Zielmaschine durch den Kernel-Prozess System geschrieben wird. Unmittelbar danach initiiert ein RPC-Aufruf an den Service Control Manager (services.exe) die Registrierung und Ausführung eines bösartigen Dienstes.
Tools wie PsExec oder Impacket führen diesen Ablauf typischerweise in weniger als 90 Sekunden durch. Als Ablageorte dienen häufig Pfade wie C:\Windows\Temp oder C:\ProgramData\, um gängige Zugriffsrestriktionen zu umgehen.
Der native Blindspot: Überdeckung durch legitime Administration
Die größte Herausforderung für SOC-Teams besteht in der Unterscheidung zwischen Angriffen und legitimen administrativen Vorgängen (Softwareverteilung, SCCM-Skripte). Manuelle Untersuchungen in nativen Konsolen scheitern oft an der zeitlichen Verzögerung: Die Korrelation zwischen einer Dateiablage via System und der zeitversetzten Ausführung via services.exe nimmt wertvolle Minuten in Anspruch. In dieser Zeitspanne hat der Angreifer bereits weitere Systeme kompromittiert.
Erweiterte Erkennung: KQL Advanced Hunting Query
Um Angriffe in Echtzeit zu erkennen, muss Defender for Endpoint das kritische Korrelationsfenster überwachen. Die folgende Advanced Hunting (KQL)-Abfrage identifiziert verdächtige SMB-Payload-Dumps mit anschließender Dienstausführung präzise:
let Window = 90s;
DeviceFileEvents
| where InitiatingProcessFileName =~ "System" and ActionType == "FileCreated"
| where FolderPath matches regex @"(?i)^[A-Z]:\\(Windows|ProgramData|Temp)\\[^\\]+\.(exe|dll|bat|cmd|ps1)$"
| project FileDropTime = Timestamp, DeviceId, DeviceName, TargetPayload = FolderPath, FileName
| join kind=inner (
DeviceProcessEvents
| where InitiatingProcessFileName =~ "services.exe"
| project ServiceExecTime = Timestamp, DeviceId, AccountName, AccountDomain,
ParentProcessName = InitiatingProcessFileName, ProcessCommandLine, FileName
) on DeviceId
| where ServiceExecTime between (FileDropTime .. (FileDropTime + Window))
| where ProcessCommandLine has FileName or ProcessCommandLine has TargetPayload
| extend PivotLatencyMs = datetime_diff('millisecond', ServiceExecTime, FileDropTime)
| project ServiceExecTime, DeviceName, AccountDomain, AccountName, TargetPayload, ProcessCommandLine, PivotLatencyMsAutomatisierte Behebung mit Akuity SOC
Präzise Erkennung erfordert sofortige Eindämmung. Akuity SOC schließt die Lücke zwischen Alarm und Gegenmaßnahme:
- Einheitlicher Kontext ohne Toolwechsel: Die Visual Kill Chain und das Beweismittel-Inventar identifizieren Patient Zero und verknüpfen die
services.exe-Anomalie direkt im Incident. - 1-Klick isolateDevice() Abwehr: Sofortige Netzwerkisolierung des kompromittierten Systems bei gleichzeitiger Aufrechterhaltung des Live-Response-Kanals für forensische Analysen.
- Zero-Trust-Governance: Sicherheitsaktionen sind durch obligatorische MFA-AAL2-Freigaben abgesichert und revisionssicher nach NIS-2- und SOC-2-Typ-II-Vorgaben protokolliert.
Nutzen Sie sofortige Host-Isolierung und agentenlose SOAR-Reaktionsketten direkt in Ihrer Microsoft-Umgebung.
Starten Sie Ihre 14-tägige Testversion (ohne Kreditkarte) →Techno-FAQ
Werden forensische Live-Response-Verbindungen durch isolateDevice() unterbrochen?
Nein. Die über Defender for Endpoint initiierte Isolierung kappt jegliche Netzwerkkommunikation auf IP-Ebene, hält jedoch die verschlüsselte Verbindung zur Microsoft-Cloud aufrecht. Analysten können weiterhin forensische Skripte ausführen, Speicherabbilder sichern und Prozesse analysieren, ohne eine Ausbreitung im Netzwerk zu riskieren.
Wie werden Fehlalarme durch IT-Softwareverteilungstools vermieden?
Akuity SOC gleicht Erkennungsergebnisse mit Whitelists für signierte Unternehmenszertifikate und autorisierte Service-Accounts ab. Handelt es sich um validierte Softwarepakete bekannter IT-Management-Tools, wird der Vorfall automatisch herabgestuft, um Betriebsunterbrechungen zu vermeiden.