4794–DSRM 后门

技术背景

在 Active Directory 环境中，DSRM（Directory Service Restore Mode）账户是每个域控制器上的本地管理员账户，通常用于离线维护

攻击者在获得足够权限后，可以修改 DSRM 账户的密码，从而在域控上建立一个隐蔽的持久化后门，即使常规的域管理员密码被更改，攻击者仍可通过 DSRM 账户登录域控

日志分析

pasted_1791808967839_ifnagp.png

字段 值 含义与研判要点
事件 ID 4794 “试图设置目录服务还原模式管理员密码”。仅在域控上生成，每次修改 DSRM 密码都会记录
使用者安全 ID S-1-5-21-…-500 域 HQCORP 的内置 Administrator 账户（RID 500）。这是域内权限最高的账户之一
账户名 administrator 执行密码修改操作的用户
账户域 HQCORP 操作发生在 HQCORP 域
登录 ID 0x2F336F 该操作所属的登录会话标识
调用方工作站 2016DC 发起操作的计算机名。名称含 DC，很可能是域控本身
状态代码 0x0 操作成功。DSRM 密码已被实际修改

检测规则

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
title: Password Change on Directory Service Restore Mode (DSRM) Account
id: 53ad8e36-f573-46bf-97e4-15ba5bf4bb51
status: stable
description: Detects potential attempts made to set the DSRM administrator password.
references:
    - https://adsecurity.org/?p=1714
author: Thomas Patzke
tags:
    - attack.persistence
    - attack.privilege_escalation
    - attack.t1098
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 4794
    condition: selection
falsepositives:
    - Initial installation of a domain controller
level: high