› › ›

创建隐藏的本地用户帐户

编辑

创建隐藏的本地用户帐户

编辑

识别通过在帐户名称后附加美元符号来创建隐藏的本地用户帐户的行为。攻击者有时会这样做来增加对系统的访问权限，并避免在使用 net users 命令列出帐户时出现在结果中。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.registry-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
策略: 持久化
资源: 调查指南
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: Sysmon
数据源: Microsoft Defender for Endpoint
数据源: SentinelOne

版本: 311

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查创建隐藏的本地用户帐户

攻击者可以创建以 $ 符号结尾的帐户，使帐户对用户枚举实用程序隐藏，并绕过通过此模式识别计算机帐户来应用筛选器的检测。

此规则使用注册表事件来识别本地隐藏帐户的创建。

可能的调查步骤

识别执行操作的用户帐户，以及该帐户是否应该执行此类操作。
调查未知进程的进程执行链（父进程树）。检查其可执行文件是否常见、是否位于预期位置，以及是否使用有效的数字签名进行签名。
调查过去 48 小时内与用户/主机相关的其他警报。

误报分析

此活动不太可能合法发生。如果需要，可以将良性真阳性 (B-TP) 添加为例外。

响应和补救

根据分类结果启动事件响应流程。
隔离涉及的主机，以防止进一步的攻击后行为。
删除隐藏的帐户。
审查分配给相关用户的权限，以确保遵循最小特权原则。
确定攻击者滥用的初始向量，并采取行动以防止通过相同的向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高检测的平均时间 (MTTD) 和响应的平均时间 (MTTR)。

规则查询

编辑

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\",
    "\\REGISTRY\\MACHINE\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\",
    "MACHINE\\SAM\\SAM\\Domains\\Account\\Users\\Names\\*$\\"
)

框架: MITRE ATT&CK^TM

策略
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 创建帐户
- ID: T1136
- 参考 URL: https://attack.mitre.org/techniques/T1136/
子技术
- 名称: 本地帐户
- ID: T1136.001
- 参考 URL: https://attack.mitre.org/techniques/T1136/001/