Техника на mitre.org

T1187: Принудительная аутентификация

Злоумышленники могут получить учетные данные, явно или неявно заставив пользователя автоматически предоставить данные аутентификации механизму, контролируемому атакующими.

Протокол Server Message Block (SMB) широко используется в сетях Windows для аутентификации и связи между системами при использовании общих файлов и ресурсов. При подключении системы на базе Windows к SMB-ресурсу она пытается автоматически выполнить аутентификацию и отправить удаленной системе аутентификационные данные текущего пользователя . Такой механизм обычно используется в корпоративных средах, чтобы пользователям не нужно было вводить учетные данные для доступа к сетевым ресурсам.

Кроме того, в системах Windows в качестве резервного протокола при блокировке или отказе SMB обычно используется протокол Web Distributed Authoring and Versioning (WebDAV). WebDAV является расширением HTTP и обычно работает через TCP-порты 80 и 443 .

Злоумышленники могут воспользоваться этой схемой, чтобы получить доступ к хешам учетных записей пользователей через принудительную аутентификацию SMB/WebDAV. Злоумышленник может отправить пользователю целевое фишинговое письмо с вложением, которое содержит ссылку на ресурс на внешнем сервере, контролируемом злоумышленником (техника Внедрение в шаблоны), или внедрить специально созданный файл в местоположение, доступное привилегированным учетным записям (например, разместить файл SCF на рабочем столе), или на общедоступный ресурс с тем, чтобы жертва могла попытаться получить доступ к этому файлу. Когда система пользователя обращается к недоверенному ресурсу, она пытается пройти аутентификацию и отправляет информацию (в том числе хешированные учетные данные пользователя) по протоколу SMB на сервер, контролируемый злоумышленником . Имея доступ к хешу учетных данных, злоумышленник может автономно взломать его методом перебора, чтобы получить доступ к учетным данным в открытом текстовом виде .

Реализовать эту технику можно по-разному . Вот некоторые варианты ее реального использования:

Документ, вложенный в целевое фишинговое письмо, который ссылается на ресурс, автоматически загружаемый при открытии этого документа (техника Внедрение в шаблоны). Например, документ может содержать запрос, подобный file[:]//[remote address]/Normal.dotm, для активации запроса SMB .
Модифицированный файл LNK или SCF, в котором путь к имени значка является внешней ссылкой, например \[remote address]\pic.png. Такая ссылка будет заставлять систему при каждом отображении значка загружать ресурс и таким образом снова собирать учетные данные .

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

netflow: PT-CR-2938: Netflow_NTP_Timeroasing: Сетевой узел отправил множество NTP-запросов на контроллер домена, что может быть признаком атаки Timeroasting pt_nad: PT-CR-2417: NAD_NTLM_To_External: PT NAD обнаружил отправку хеша Net-NTLM в интернет mitre_attck_cred_access: PT-CR-913: Subrule_Coerce_Auth: Обнаружена возможная принудительная аутентификация (Coerce-атака) mitre_attck_cred_access: PT-CR-2348: SCF_Or_URL_Forced_Authentication: Возможная принудительная аутентификация пользователя с помощью файлов с расширением .scf или .url. Такая аутентификация позволяет злоумышленникам получить NTLM-хеши паролей пользователей, которые откроют общий сетевой ресурс с этими файлами с помощью Проводника Windows. Злоумышленники могут использовать полученные хеши для таких атак, как Pass-the-Hash, либо подобрать пароли в открытом виде и использовать их для доступа к другим системам mitre_attck_cred_access: PT-CR-2349: SCF_Or_URL_File_Created: Возможная принудительная аутентификация пользователей с помощью файлов с расширением .scf или .url. Такая аутентификация позволяет злоумышленникам получить NTLM-хеши паролей пользователей, которые откроют локальную папку или общий сетевой ресурс с этими файлами с помощью Проводника Windows. Злоумышленники могут использовать полученные хеши для таких атак, как Pass-the-Hash, либо подобрать пароли в открытом виде и использовать их для доступа к другим системам mitre_attck_cred_access: PT-CR-1075: Dangerous_Theme: Установлена потенциально вредоносная тема Windows, которая используется для кражи имен пользователей и хешей паролей mitre_attck_cred_access: PT-CR-1204: Coerce_Auth: NTLM-хеш учетной записи компьютера перехвачен в результате принудительной аутентификации (Coerce-атаки) mitre_attck_cred_access: PT-CR-914: Subrule_Egress_System: Обнаружено подключение к атакующему узлу, что может быть признаком принудительной аутентификации (Coerce-атаки) mitre_attck_lateral_movement: PT-CR-2768: MSSQL_NTLM_Relay: Возможная атака NTLM Relay с использованием клиента MS SQL. Имея доступ к учетной записи с низкими привилегиями, злоумышленники могут совершить атаку NTLM Relay, подключившись к клиенту MS SQL и выполнив хранимые процедуры, в параметрах которых задан UNC-путь к узлу атакующего mitre_attck_lateral_movement: PT-CR-784: Auth_Coerce_With_WebClient_Abuse: Обнаружено использование техник PetitPotam или PrinterBug, реализуемых с помощью службы WebClient, для принудительной авторизации на атакующем узле по протоколу HTTP (порт 80) mitre_attck_lateral_movement: PT-CR-2766: Subrule_MSSQL_NTLM_Relay: Выполнена хранимая процедура с удаленного клиента MS SQL vulnerabilities: PT-CR-2948: Subrule_CVE_2025_24071_NTLM_Hash_Leak: Процесс архиватора или Проводник Windows создал файл с расширением .library-ms vulnerabilities: PT-CR-2297: CVE_2024_21413_Outlook_MonikerLink: Эксплуатация уязвимости CVE-2024-21413 в Outlook. Уязвимость позволяет злоумышленнику отправить жертве письмо с гиперссылкой на общий сетевой ресурс и обойти предупреждение Outlook при открытии письма. Это может быть использовано, чтобы выполнить произвольный код или получить NetNTLM-хеш пользователя vulnerabilities: PT-CR-2949: CVE_2025_24071_NTLM_Hash_Leak: Возможная эксплуатация уязвимости CVE-2025-24071 в Проводнике Windows. Из архива извлечен файл с расширением .library-ms, что может привести к передаче хеша пароля пользователя на сервер злоумышленника active_directory_certificate_services_attacks: PT-CR-2225: ADCS_CRL_Abusing: Подозрительная активность с использованием списка отозванных сертификатов (CRL). Используя доступ к CRL, злоумышленник может вынудить сервер центра сертификации пройти аутентификацию на удаленном сервере или получить возможность удаленного выполнения кода на сервере центра сертификации. Для работы правила необходимо заполнить табличный список "CRL_Publication_Time" active_directory_certificate_services_attacks: PT-CR-2226: ADCS_Certify_Coerce: NTLM-хеш или TGT учетной записи сервера центра сертификации перехвачен в результате принудительной аутентификации (coerce-атаки). Это может привести к компрометации сервера центра сертификации и развитию атаки active_directory_attacks: PT-CR-837: KrbRelay_Usage: Возможное использование утилит KrbRelay или DavRelayUp, позволяющих использовать отсутствие подписи запросов LDAP для ретрансляции процесса аутентификации и получения TGS-билета для SPN учетной записи от имени администратора. После этого злоумышленник может повысить свои привилегии до локального администратора и выполнить вредоносный код на скомпрометированном узле active_directory_attacks: PT-CR-2542: RemoteKrbRelay_Usage: Пользователь, не являющийся инициатором подключения, прошел аутентификацию Kerberos. Это может быть признаком использования утилиты RemoteKrbRelay, которая позволяет удаленно провоцировать и ретранслировать Kerberos-аутентификацию с целью получить доступ к какой-либо службе с уровнем привилегий целевой учетной записи, используя техники CertifiedDCOM и SilverPotato active_directory_attacks: PT-CR-654: SAM_Account_Name_Spoofing: Пользователь изменил SamAccountName объекта AD на несвойственное (наличие или отсутствие символа "$" в конце имени не соответствует типу объекта) или запросил TGT-билет от имени учетной записи, совпадающей с именем контроллера домена. Это может быть признаком атаки SamAccountName Spoofing, реализация которой позволит злоумышленникам повысить привилегии или провести атаку Targeted Timeroasting mitre_attck_privilege_escalation: PT-CR-2500: SilverPotato_PrivEsc: Повышение привилегий с помощью техники SilverPotato. Эта техника позволяет пользователям, входящим в группу "Distributed COM Users" или "Performance Log Users", удаленно взаимодействовать с приложением в контексте интерактивного пользователя и спровоцировать аутентификацию, которая в дальнейшем ретранслируется на целевой узел

Способы обнаружения

ID	DS0029	Источник и компонент данных	Сетевой трафик: Содержимое сетевого трафика	Описание	При анализе внутреннего трафика отслеживайте необычный (по сравнению с базовым) трафик SMB между рабочими станциями. Во многих сетях такого трафика не должно быть, но это зависит от того, как настроены системы в сети и где расположены ресурсы.

ID	DS0029	Источник и компонент данных	Сетевой трафик: Поток сетевого трафика	Описание	Отслеживайте SMB-трафик на TCP-портах 139 и 445, а также UDP-порте 137, и следите за трафиком WebDAV, который пытается выйти за пределы сети в неизвестные внешние системы. Если такие попытки обнаружены, изучите источники данных соответствующих конечных систем, чтобы выяснить первопричину.

ID	DS0022	Источник и компонент данных	Файл: Доступ к файлу	Описание	Отслеживайте попытки использования нетипичных файлов, путем отображения которых злоумышленники могут пытаться собирать учетные данные.

ID	DS0022	Источник и компонент данных	Файл: Создание файла	Описание	Отслеживайте создание файлов LNK и SCF, а также других файлов в системах и виртуальных средах, которые содержат ссылки на ресурсы во внешних сетях.

ID	DS0022	Источник и компонент данных	Файл: Изменение файла	Описание	Отслеживайте изменения в файлах LNK и SCF и других файлов в системах и виртуальных средах, которые содержат ссылки на ресурсы во внешних сетях.

ID	Источник и компонент данных	Описание
DS0029	Сетевой трафик: Содержимое сетевого трафика	При анализе внутреннего трафика отслеживайте необычный (по сравнению с базовым) трафик SMB между рабочими станциями. Во многих сетях такого трафика не должно быть, но это зависит от того, как настроены системы в сети и где расположены ресурсы.
DS0029	Сетевой трафик: Поток сетевого трафика	Отслеживайте SMB-трафик на TCP-портах 139 и 445, а также UDP-порте 137, и следите за трафиком WebDAV, который пытается выйти за пределы сети в неизвестные внешние системы. Если такие попытки обнаружены, изучите источники данных соответствующих конечных систем, чтобы выяснить первопричину.
DS0022	Файл: Доступ к файлу	Отслеживайте попытки использования нетипичных файлов, путем отображения которых злоумышленники могут пытаться собирать учетные данные.
DS0022	Файл: Создание файла	Отслеживайте создание файлов LNK и SCF, а также других файлов в системах и виртуальных средах, которые содержат ссылки на ресурсы во внешних сетях.
DS0022	Файл: Изменение файла	Отслеживайте изменения в файлах LNK и SCF и других файлов в системах и виртуальных средах, которые содержат ссылки на ресурсы во внешних сетях.

Меры противодействия

ID	M1027	Название	Парольные политики	Описание	Используйте надежные пароли, чтобы повысить сложность взлома хешей учетных данных в случае их получения.

ID	M1037	Название	Фильтрация сетевого трафика	Описание	Блокируйте SMB-трафик на выходе из корпоративной сети с помощью фильтрации на выходе или путем блокирования TCP-портов 139, 445 и UDP-порта 137. Фильтруйте или блокируйте трафик протокола WebDAV для выхода из сети. Если необходим доступ к внешним ресурсам через SMB и WebDAV, то трафик должен быть жестко ограничен с помощью разрешающих списков .

ID	Название	Описание
M1027	Парольные политики	Используйте надежные пароли, чтобы повысить сложность взлома хешей учетных данных в случае их получения.
M1037	Фильтрация сетевого трафика	Блокируйте SMB-трафик на выходе из корпоративной сети с помощью фильтрации на выходе или путем блокирования TCP-портов 139, 445 и UDP-порта 137. Фильтруйте или блокируйте трафик протокола WebDAV для выхода из сети. Если необходим доступ к внешним ресурсам через SMB и WebDAV, то трафик должен быть жестко ограничен с помощью разрешающих списков .