1. Главная
  2. Новости
  3. Microsoft предупредила об уязвимостях перехвата контроля над доменами в Active Directory

Microsoft предупредила об уязвимостях перехвата контроля над доменами в Active Directory

Microsoft предупредила об уязвимостях перехвата контроля над доменами в Active Directory
Компания Microsoft предупредила клиентов о двух уязвимостях повышения привилегий ( CVE-2021-42287 и CVE-2021-42278 ) в службе каталогов Active Directory, эксплуатация которых позволяет злоумышленникам легко перехватывать контроль над доменами Windows, пишет SecurityLab.

Предупреждение техногиганта появилось после того, как 11 декабря нынешнего года в Twitter и на GitHub был опубликован PoC-код для эксплуатации данных уязвимостей. Атака позволяет злоумышленникам легко повысить свои привилегии до уровня администратора домена, как только они скомпрометируют обычного пользователя в домене.

Администраторам Windows настоятельно рекомендуется обновить все контроллеры домена, следуя инструкциям и информации, доступным в следующих статьях базы знаний: KB5008102 , KB5008380 и KB5008602 .

Microsoft также поделилась подробным руководством по обнаружению признаков эксплуатации в среде и выявлению потенциально скомпрометированных серверов с помощью расширенного запроса Defender for Identity, который ищет аномальные изменения имени устройства. Пошаговое руководство требует:

  • Изменение sAMAccountName основано на событии 4662. Необходимо убедиться, что он включен на контроллере домена для отслеживания таких действий.
  • Открыть Microsoft 365 Defender и перейти в Advanced Hunting.
  • Скопировать следующий запрос:
IdentityDirectoryEvents | where Timestamp > ago(1d) | where ActionType == "SAM Account Name changed" | extend FROMSAM = parse_json(AdditionalFields)['FR OM SAM Account Name'] | extend TOSAM = parse_json(AdditionalFields)['TO SAM Account Name'] | wh ere (FROMSAM has "$" and TOSAM !has "$") or TOSAM in ("DC1", "DC2", "DC3", "DC4") // DC Names in the org | project Timestamp, Application, ActionType, TargetDeviceName, FROMSAM, TOSAM, ReportId, AdditionalFields

  • Заменить отмеченную область соглашением об именах контроллеров домена.
  • Запустить запрос и проанализировать результаты, которые содержат затронутые устройства. Можно использовать событие Windows 4741, чтобы найти создателя этих устройств, если они новые.
  • Исследовать скомпрометированные компьютеры и убедиться, что они не использовались во вредоносных целях.

РЕКОМЕНДУЕМ

похожие материалы

Стрелочка
Стрелочка
В МИФИ разработана архитектура нейросети, устойчивая к «отравлениям»
В МИФИ разработана архитектура нейросети, устойчивая к «отравлениям»

Исследователи из НИЯУ МИФИ разработали инновационную архитектуру нейросети MambaShield, способную сохранять высокую точность работы даже в условиях целенаправленных кибератак на обучающие выборки.

подробнее Стрелочка
Лихой рейс: новая группа хакеров Geo Likho нацелилась на российскую авиационную индустрию и судоходные компании
Лихой рейс: новая группа хакеров Geo Likho нацелилась на российскую авиационную индустрию и судоходные компании

«Лаборатория Касперского» выявила новую хакерскую группу — Geo Likho: по данным портала киберразведки Kaspersky Threat Intelligence Portal, злоумышленники совершают сложные целевые атаки на российские организации из различных сфер ради кибершпионажа.

подробнее Стрелочка
NGate сменил маску: троянизированное NFC-приложение крадет PIN и уводит данные карты на устройство атакующего
NGate сменил маску: троянизированное NFC-приложение крадет PIN и уводит данные карты на устройство атакующего

Исследователи обнаружили новую версию Android-малвари NGate, которая теперь маскируется не под банковский троян, а под модифицированное легитимное NFC-приложение HandyPay.

подробнее Стрелочка
Билайн задействует квантовую механику в защите клиентских сетей
Билайн задействует квантовую механику в защите клиентских сетей

ПАО «ВымпелКом» и ОАО «РЖД» совместно с разработчиком высокотехнологичных средств защиты информации, компанией «ИнфоТеКС», провели успешные пилотные испытания технологии квантового распределения ключей для организации высокозащищенной корпоративной сети.

подробнее Стрелочка