› › ›

创建隐藏的本地用户帐户

编辑

创建隐藏的本地用户帐户

编辑

通过在帐户名末尾添加美元符号 ($) 来识别创建隐藏的本地用户帐户。攻击者有时会这样做以增加对系统的访问权限，并避免出现在使用 net users 命令列出帐户的结果中。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.registry-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 高

风险评分: 73

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

领域：端点
操作系统：Windows
用例：威胁检测
战术：持久性
资源：调查指南
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon
数据源：Microsoft Defender for Endpoint
数据源：SentinelOne

版本: 311

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查创建隐藏的本地用户帐户

攻击者可以创建以 $ 符号结尾的帐户，以使帐户对用户枚举实用程序隐藏，并绕过通过此模式识别计算机帐户以应用过滤器的检测。

此规则使用注册表事件来识别创建隐藏的本地帐户。

可能的调查步骤

确定执行此操作的用户帐户以及它是否应该执行此类操作。
调查未知进程的进程执行链（父进程树）。检查其可执行文件的流行程度，它们是否位于预期位置，以及它们是否已使用有效的数字签名进行签名。
调查过去 48 小时内与用户/主机关联的其他告警。

误报分析

此活动不太可能合法发生。如有必要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

根据分类结果启动事件响应流程。
隔离相关主机以防止进一步的入侵后行为。
删除隐藏帐户。
查看分配给相关用户的权限，以确保遵循最小权限原则。
确定攻击者滥用的初始载体，并采取措施防止通过相同载体再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\",
    "\\REGISTRY\\MACHINE\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\",
    "MACHINE\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\"
)

框架: MITRE ATT&CK^TM

战术
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：创建帐户
- ID：T1136
- 参考网址：https://attack.mitre.org/techniques/T1136/
子技术
- 名称：本地帐户
- ID：T1136.001
- 参考网址：https://attack.mitre.org/techniques/T1136/001/