AD 域–ACL 权限滥用与账户操纵

样本信息

  • 文件：ACL_ForcePwd_SPNAdd_User_Computer_Accounts.evtx

  • 文件大小：1118208 bytes；SHA-256：f09f993909deb7acdae4c4f6f48e5a8447487e89437873fd8e653436a3dce36c

  • 完整有效事件：55 条（Record ID 1—55）；包括 7 种 Event ID

  • 来源：Security 审计通道为主，涉及 Microsoft-Windows-Security-Auditing 和 Microsoft-Windows-Eventlog

  • 事件 XML 中 System.TimeCreated 范围：2019-03-25T09:09:14.916619Z 到 2019-03-25T13:01:41.935605Z（UTC）

  • EVTX 记录头中的写入时间：2019-03-25T10:05:30.695604Z 到 2019-03-25T13:02:14.947611Z（UTC）

  • 时间处理说明： 事件创建时间与 EVTX 记录写入时间不完全相同，下述时间线统一使用 System.TimeCreated。北京时间 = UTC + 8 小时

事件统计

Event ID 数量 Windows 含义
5136 22 AD 目录对象属性修改
4662 14 目录对象操作/访问审计
4719 8 系统审计策略发生变化
4738 5 用户账户被修改
4702 4 计划任务被更新
1102 1 Security 审计日志被清除
4742 1 计算机账户被修改

攻击链

Security 日志清除

pasted_1791832344673_jb7pf7.png

  • Record 1；Event ID 1102；事件创建时间 09:09:14 UTC

  • SubjectUserName=bob，SubjectDomainName=insecurebank，SubjectLogonId=0x8d7099

  • 此事件确认发生了安全审计日志清除

默认域策略反复修改

pasted_1791832778745_h2oglq.png

pasted_1791832799389_mlvsv8.png

  • Record 4–5、7–8、10–11、13–14、20–23、28–29、31–32、41–42、45–48 均为 5136

  • 这些事件的 SubjectUserName 全部为 bob；ObjectClass=groupPolicyContainer；AttributeLDAPDisplayName=versionNumber

  • 代码 %%14675 表示删除旧值，%%14674 表示添加新值，每一轮变化通常有一对事件

  • 默认域策略 GPO：65554 → 65555 → 65556 → 65557 → 65558 → 65559 → 65560 → 65561

  • 默认域控制器策略 GPO：5 → 6 → 7 → 8 → 9

pasted_1791832829153_xt4vf4.png

  • 多条 4662 的 AccessMask=0x20，表示 Write Property，对 GPO 对象的写属性活动提供辅助佐证

用户 alice 多次发生账户修改

pasted_1791833004924_kgfwt7.png

Record ID 事件创建时间 UTC Event ID 操作者 目标
26 2019-03-25T11:15:58.239601Z 4738 bob alice
35 2019-03-25T11:19:35.820604Z 4738 bob alice
51 2019-03-25T12:37:49.638677Z 4738 bob alice
52 2019-03-25T12:48:09.195617Z 4738 bob alice
54 2019-03-25T13:01:41.932610Z 4738 bob alice

计算机账户 ALICE$ 被修改

pasted_1791833054882_byb14u.png

总结

bob 清理了安全日志、反复修改默认 GPO 的版本属性，并修改用户 alice 与计算机 ALICE$ 的账户对象