-
Remote System Discovery erkennen: die Landkarte des Angreifers
Vor der seitlichen Bewegung kartiert der Angreifer die erreichbaren Systeme - mit net view, nltest und AD-Abfragen. So erkennst du Remote System Discovery an Kommandozeile und Umfang -…
-
Network Share Discovery erkennen: die Suche nach Netzfreigaben
Nach dem Einbruch sucht der Angreifer Netzfreigaben nach Daten und Zugangsdaten ab - per net view, PowerShell oder mit SharpShares und Snaffler. So erkennst du Network Share Discovery…
-
Protocol Tunneling und Proxy erkennen: versteckte C2-Kanäle durch die Firewall
Angreifer tunneln C2-Verkehr durch erlaubte Protokolle oder leiten ihn über Proxys um - per SSH-Forwarding, ngrok/chisel oder netsh portproxy. So erkennst du den Tunnel-Aufbau am Endpunkt - mit…
-
Web-Service-C2 erkennen: GitHub, Pastebin und Chat-APIs als C2-Kanal
Angreifer steuern über legitime Webdienste - Dead Drop auf Pastebin/GitHub, Chat-Webhooks als bidirektionaler Kanal. So erkennst du Web-Service-C2 am aufrufenden Prozess statt am Dienst - mit drei sigma-cli-validierten…
-
Ingress Tool Transfer erkennen: Nachladen über certutil, PowerShell und curl
Fast jeder Angriff lädt Werkzeuge und Nutzlast über bordeigene Downloader nach - certutil, PowerShell, curl und wget. So erkennst du Ingress Tool Transfer an Kommandozeile, neuer Datei und…
-
RMM-Missbrauch erkennen: Fernwartungswerkzeuge als C2-Kanal
Angreifer bringen fertige Fernwartungswerkzeuge wie AnyDesk, TeamViewer oder ScreenConnect mit - signiert, über die Anbieter-Cloud, an EDR und Firewall vorbei. So erkennst du RMM-Missbrauch über Programmausführung, Startpfad und…
-
BITS-Jobs erkennen: die stille Hintertür im Hintergrunddienst
Angreifer missbrauchen den Background Intelligent Transfer Service (BITS) zum unauffälligen Nachladen und als Persistenz, die Neustarts übersteht. So erkennst du bitsadmin, SetNotifyCmdLine und Start-BitsTransfer - mit drei sigma-cli-validierten…
-
IFEO- und Accessibility-Debugger erkennen: die Sticky-Keys-Hintertür
Image File Execution Options als Hintertür: ein Debugger auf sethc oder utilman startet eine SYSTEM-Shell am Anmeldebildschirm. Drei sigma-cli-validierte Sigma-Regeln für den IFEO-Eintrag und das Verhalten.
-
Neues Konto als Hintertür erkennen: Persistenz über Benutzerkonten
Ein neues Benutzerkonto in einer Admin-Gruppe ist die direkteste Hintertür. Drei sigma-cli-validierte Sigma-Regeln für die Kontoanlage (4720), die Admin-Gruppen-Aufnahme (4728/4732/4756) und die Kommandozeile.
-
WMI Event Subscription erkennen: dateilose Persistenz über WMI
Die WMI-Event-Subscription ist die unauffälligste Persistenz unter Windows: dateilos, als SYSTEM, über jeden Neustart. Drei sigma-cli-validierte Sigma-Regeln für Filter, Consumer und die Anlage per Kommandozeile.