- Event-ID
4720- Log-Kanal
- Security
- Quelle
Microsoft-Windows-Security-Auditing- Angriffsrelevanz
- hoch
- Taktik
- Persistence, Privilege Escalation
Event 4720 ("A user account was created") entsteht, wenn ein neues Benutzerkonto angelegt wird. Bei lokalen Konten schreibt der jeweilige Rechner das Event, bei Domänenkonten der Domain Controller, der die Änderung verarbeitet hat. Angreifer legen eigene Konten an, um nach einem Passwortwechsel oder dem Entfernen ihrer Malware weiter Zugriff zu haben.
Die wichtigsten Felder
TargetUserNameundTargetSid: das neue Konto.SubjectUserName: wer das Konto angelegt hat.SamAccountName,DisplayName,UserPrincipalName: die Namensattribute.UserAccountControl: Kontoeigenschaften wie "Passwort läuft nie ab" oder "Konto deaktiviert".PrimaryGroupId: normalerweise513(Domänenbenutzer).
Worauf du bei der Detection achtest
- Konto und sofortige Admin-Rechte: 4720 gefolgt von 4732 (lokale Gruppe, z. B. Administratoren) oder 4728 und 4756 (globale bzw. universelle Gruppe, z. B. Domain Admins) für dasselbe Konto innerhalb weniger Minuten.
- Falscher Ersteller: Konten, die nicht vom Identity-Management oder vom zuständigen Team angelegt wurden, sondern von normalen Benutzern, Dienstkonten oder
SYSTEM. - Lokale Konten auf Servern: in Domänenumgebungen werden lokale Konten selten angelegt. Jedes neue lokale Konto auf einem Server ist prüfenswert.
- Tarnnamen: Namen wie
support,admin1,svc_backupoder Namen mit einem$am Ende, die Computerkonten imitieren. - Ungewöhnliche Zeiten: Kontoerstellung nachts, am Wochenende oder während eines laufenden Incidents.
Typische False Positives
Onboarding-Prozesse, Identity-Management-Systeme und Provisionierungs-Skripte erzeugen den Großteil aller 4720-Events. Wenn die Kontoerstellung bei dir über wenige bekannte Dienstkonten läuft, kannst du diese filtern und alles andere als Alarm behandeln. Das ist eine der Regeln mit dem besten Signal-Rausch-Verhältnis.
Voraussetzung
Das Event erfordert die Überwachungsrichtlinie Benutzerkontenverwaltung überwachen (Audit User Account Management). Auf Domain Controllern ist sie meist aktiv, auf Member-Servern und Clients solltest du sie per GPO für Erfolg einschalten, damit du auch lokale Konten siehst.
Sigma-Regel (Beispiel)
title: Lokales Konto per net user angelegt
id: 0f58635b-ad23-4988-b457-de9c3cb17217
status: experimental
description: Erkennt die Kontoerstellung ueber net.exe oder net1.exe mit dem Parameter /add, ein haeufiger Weg fuer Backdoor-Konten.
references:
- https://attack.mitre.org/techniques/T1136/001/
author: blue-team.net
tags:
- attack.persistence
- attack.t1136.001
logsource:
product: windows
category: process_creation
detection:
selection_img:
Image|endswith:
- '\net.exe'
- '\net1.exe'
selection_cmd:
CommandLine|contains|all:
- 'user'
- '/add'
condition: selection_img and selection_cmd
falsepositives:
- Administratoren, die lokale Konten bewusst per Kommandozeile anlegen
level: mediumBeispielregel als Ausgangspunkt. Vor dem produktiven Einsatz an die eigene Umgebung, Log-Quellen und Ausnahmen anpassen.