Event-ID 4657: Registry-Wert geändert

Event 4657 („A registry value was modified“) entsteht, wenn ein Registry-Wert angelegt, geändert oder gelöscht wird, auf dessen Schlüssel eine Überwachungsliste (SACL) gesetzt ist. Anders als die meisten Registry-Quellen zeigt 4657 den alten und den neuen Wert. Du siehst also nicht nur, dass sich etwas geändert hat, sondern auch was.

Ohne SACL entsteht kein Event. Das ist Nachteil und Vorteil zugleich: Du musst die wichtigen Schlüssel selbst festlegen, bekommst dafür aber ein ruhiges, sehr aussagekräftiges Log.

Die wichtigsten Felder

• ObjectName: der Schlüssel, etwa \REGISTRY\MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest.
• ObjectValueName: der geänderte Wert, etwa UseLogonCredential.
• OperationType: %%1904 neuer Wert, %%1905 Wert geändert, %%1906 Wert gelöscht.
• OldValue und NewValue: der Inhalt vorher und nachher.
• ProcessName und SubjectUserName: wer die Änderung vorgenommen hat.

Schlüssel, die eine SACL verdienen

Worauf du bei der Detection achtest

• WDigest aktiviert: UseLogonCredential auf 1. Das ist ein klassischer Schritt vor Mimikatz und praktisch nie legitim.
• Schutzfunktionen abgeschaltet: RunAsPPL auf 0, Defender-Richtlinien wie DisableAntiSpyware oder DisableRealtimeMonitoring auf 1.
• Neue Autostarts: Einträge in Run-Schlüsseln, die auf Benutzerverzeichnisse, ProgramData oder Skript-Interpreter zeigen.
• Prozess passt nicht: Änderungen an Sicherheitseinstellungen durch reg.exe, PowerShell oder unbekannte Programme statt durch Gruppenrichtlinie oder Installer.

Typische False Positives

Software-Installationen und Updates schreiben regelmäßig in Run-Schlüssel, Gruppenrichtlinien setzen Defender- und LSA-Werte. Setze SACLs deshalb nur auf wenige, sicherheitsrelevante Schlüssel und nimm bekannte Installer-Prozesse aus. Mit Sysmon deckst du dasselbe breiter über Sysmon Event 13 und Sysmon Event 12 ab.

Voraussetzung

Du brauchst die Überwachungsrichtlinie Registrierung überwachen (Audit Registry) für Erfolg und zusätzlich eine SACL auf jedem Schlüssel, den du überwachen willst. Die SACL setzt du per Gruppenrichtlinie unter Sicherheitseinstellungen, Registrierung.

Sigma-Regel (Beispiel)

title: WDigest-Klartextspeicherung per Registry aktiviert
status: experimental
description: Erkennt das Setzen von UseLogonCredential auf 1. Danach speichert Windows Klartext-Passwoerter im Speicher von LSASS.
references:
  - https://attack.mitre.org/techniques/T1112/
author: blue-team.net
tags:
  - attack.defense-evasion
  - attack.t1112
  - attack.credential-access
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4657
    ObjectName|endswith: '\Control\SecurityProviders\WDigest'
    ObjectValueName: 'UseLogonCredential'
    NewValue: '1'
  condition: selection
falsepositives:
  - Sehr selten; alte Anwendungen, die Digest-Authentifizierung benoetigen
level: high

Beispielregel als Ausgangspunkt. Vor dem produktiven Einsatz an die eigene Umgebung, Log-Quellen und Ausnahmen anpassen.

Verwandte Event-IDs

• 13 Registry-Wert gesetzt
• 12 Registry-Schlüssel erstellt oder gelöscht
• 4719 Überwachungsrichtlinie geändert
• 4688 Neuer Prozess erstellt