Threat Hunting #7 利用事件 ID5145 日志检测 BloodHound Sharphound**

BloodHound 可以帮助攻击者更简单地分析域环境情况，确定攻击路线，完成域内横向移动和权限提升。防御者也可以使用 BloodHound 去识别和清理这些容易被攻击者利用的攻击路线。红队和蓝队都可以借助 BloodHound 更轻松地深入了解 AD 域环境中的权限关系。

在本文中，我们将向您展示如何在客户端和域控端检测 Sharphound

客户端特征：

1、与 LDAPLDAPS (389 端口和 636 端口)和 SMB ( 445 端口) TCP 端口的多个连接

2、与命名管道 srvsvc 和 lsass 的多个连接

服务端(即域控或 Windows 网络文件共享)特征：

1、与命名管道 srvsvc，lsarpc 和 samr 的连接(适用于 ”default”和 ”all”扫描模式)

2、与命名管道 srvsvc 以及共享相对目标名中包含 ”Groups.xml”和 ”GpTmpl.inf”访问的连接

下面是我们观察到的使用 Sharphound 的 ”all”，”--Stealth”和 ”default”扫描模式测试时的事件示例

检测示例：

1、CarbonBlack： (ipport:389 or ipport:636) and ipport:445 and filemod:srvsvc and filemod:lsass

2、您可以基于 Sysmon 事件 ID 18 (管道连接)和事件 ID 3 (网络连接)来构建与上述规则相同的逻辑

3、EventID-5145 and RelativeTargetName={srvcsvc or lsarpc or samr} and at least 3 occurences with different RelativeTargetName and Same (Source IP, Port) and SourceUserName not like "DC$" within 1 minute

参考：

https://github.com/BloodHoundAD/BloodHound

https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=5145

https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

原文：

https://blog.menasec.net/2019/02/threat-hunting-7-detecting.html

Threat Hunting #8 检测引导配置数据的变化

更改引导配置数据可以导致未经签名的内核驱动程序被内核 (RootKit) 加载滥用

修改 BCD (即引导配置数据)可以有多种方法，最明显的就是通过 WMIC 或 bcdedit.exe

简而言之，您将需要在事件 4826 中监控下列变化(在 BCD 更改后的第一次系统启动时记录)：

1、Disable Integrity Checks: Yes

2、HyperVisor Debugging: Yes

3、Kernel Debugging: Yes

参考：

https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4826

原文：

https://blog.menasec.net/2019/02/threat-hunting-9-detecting-traces-of.html

Threat Hunting #9 利用事件 ID 5145 检测 ImpacketSecretdump 远程执行

Secretdump.py 可以执行多种技术从远程主机转储哈希。如果以域管理员权限针对 AD 域环境执行此脚本，所有用户的哈希都将被泄露

对于 SAM 和 LSA Secrets(包括缓存的凭证)，它从注册表中读取，然后保存 hives 在目标系统(%SYSTEMROOT%Temp dir)) 中，并从那里读取剩余数据

对于 NTDS.dit 文件，使用 DL_DRSGetNCChanges() 方法转储 NTLM 哈希值和 Kerberos 密钥。也可以通过使用 smbexec/wmiexec 方法执行 vssadmin 来转储 NTDS.dit

它被复制到临时目录并远程解析。如果脚本所需的服务不可以，它将开启这些服务(例如远程注册表，即使它被禁止)->[特征：连接到 winreg 命名管道]

下面是目标主机上留下的痕迹的摘要试图，我们建议您在域控和域成员服务器上使用 5145 来监控这种攻击行为。

检测逻辑：

EventId=5145 and count=4 and event.RelativeTargetName is any of {svcctl, winreg, system32*.tmp) and with different RelativeTargetName and Same AccountName, SourceAddress, SourcePort within 2 min

你也可以通过将 ”system32*.tmp”作为一个特征，然后通过查看 ”winre