SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场hunting-for-dcom-lateral-movement

hunting-for-dcom-lateral-movement

安全与审计

查看项目

更新于 10-16 11:33

技能介绍

用途

本技能用于检测和狩猎基于 DCOM（分布式组件对象模型）的横向移动攻击，该技术映射到 MITRE ATT&CK T1021.003（远程服务：分布式组件对象模型）。攻击者滥用特定的 DCOM 对象在远程主机上执行命令，且不落地文件，因此具有较强隐蔽性。本技能面向主动狩猎、告警调查、检测规则构建、DCOM 暴露面审计以及紫队验证等安全运营工作。

资料中明确提示：所描述的进攻技术与攻击模拟仅限在获得系统所有者明确书面授权的渗透测试、红队、紫队演练和安全研究中使用；未经授权对非自有系统使用这些技术属于违法且不道德，必须在授权范围内操作并遵守适用法律法规。

主要能力

技能覆盖三类主要的 DCOM 横向移动攻击载体及其取证特征：

  1. MMC20.Application（CLSID {49B2791A-B1AE-4C90-9B8E-E860BA07F889}）：攻击者远程实例化 MMC 管理单元并调用 ExecuteShellCommand 执行任意命令，会在目标上生成 mmc.exe，其父进程为 svchost.exe（DcomLaunch 服务）。
  2. ShellBrowserWindow（CLSID {C08AFD90-F2A1-11D1-8455-00A0C91F3880}）：通过 Document.Application.ShellExecute 方法经现有 explorer.exe 进程执行命令；不像 MMC20 那样为 COM 服务器新建进程，因而更隐蔽。
  3. ShellWindows（CLSID {9BA05972-F6A8-11CF-A442-00A0C90A8F39}）：与 ShellBrowserWindow 类似，在现有 explorer.exe 实例中激活并从 explorer.exe 派生子进程；因缺少新的 COM 服务器进程，在缺乏适当遥测时更难检测。

检测能力包括：使用 Sysmon 遥测（事件 ID 1 进程创建、3 网络连接、7 映像加载、10 进程访问）配置检测规则；关联 Windows 安全事件日志（4624 登录、4672 特殊权限、4688 进程创建）；监控 RPC 流量（TCP 135 与动态高端口 49152-65535）；构建 SIEM 检测规则（Sigma、Splunk 查询、Microsoft Sentinel KQL）；以及通过 WMI 活动日志（事件 5857-5861）关联 DCOM 触发的 WMI 调用。

使用方式

技能给出了一条分步工作流：

  • 步骤 1：理解 DCOM 横向移动的攻击向量，区分三类 COM 对象的取证痕迹。资料中提供了攻击模拟命令，但均以注释形式给出，且注明仅限授权测试和实验室环境。
  • 步骤 2：配置 Sysmon 以检测 DCOM，资料给出了 Sysmon 配置片段，覆盖进程创建（如 mmc.exe、dllhost.exe、explorer.exe 派生可疑子进程）、网络连接（端口 135、高端口）和映像加载（comsvcs.dll、ole32.dll、rpcrt4.dll）。部署命令示例为 sysmon64.exe -c dcom-detection-sysmon.xml，并可用 PowerShell 验证事件采集。
  • 步骤 3：构建 SIEM 检测规则，资料提供了三条 Sigma 规则示例：MMC20.Application DCOM 横向移动、ShellWindows/ShellBrowserWindow DCOM 横向移动、以及 DCOM 进程入站 RPC 连接后进程创建关联。每条规则包含 logsource、detection、level、tags 和误报说明。
  • 步骤 4：部署 Splunk 与 KQL 检测查询，资料给出了 Splunk 查询（关联 4624 Type 3 网络登录与 mmc.exe 进程创建、检测 explorer.exe 派生可疑子进程、RPC 端点映射器连接异常）以及 Microsoft Sentinel KQL 查询（MMC20.Application 与 ShellWindows 两类）。
  • 步骤 5：WMI 事件关联，通过 WMI-Activity 操作日志（事件 5857-5861）关联 DCOM 活动，并提供了 Splunk 查询与 PowerShell 查询 WMI 操作日志的示例。

适用场景

  • 在启用 DCOM 的 Active Directory 环境中主动狩猎横向移动。
  • 调查服务器上可疑的 mmc.exe、dllhost.exe 或 explorer.exe 子进程创建告警。
  • 为 MITRE ATT&CK T1021.003 构建检测规则。
  • 关联 Sysmon 事件 ID 1 与事件 ID 3，追踪基于 DCOM 的命令执行链。
  • 审计域内 DCOM 暴露面，减少横向移动攻击面。
  • 在紫队演练中验证针对 DCOM 技术的检测覆盖。

限制

资料明确说明：本技能不应作为基于 EDR 的横向移动检测的替代方案；在端点未部署 Sysmon 或等效进程遥测时不应使用；也不应在未关联网络层与主机层指标的情况下孤立使用。此外，使用前需要满足若干前提条件：端点部署 Sysmon 并捕获事件 ID 1、3、7、10；Windows 安全事件日志（4624、4672、4688）转发至 SIEM；具备关联能力的 SIEM 平台（Splunk、Elastic、Microsoft Sentinel）；对 RPC 流量（TCP 135 及 49152-65535 动态高端口）的网络监控；环境中合法 DCOM 使用的基线清单；以及对 MITRE ATT&CK 横向移动战术（TA0008）和 T1021.003 的理解。

其他说明

资料的作者与官方页面为 https://www.skills.sh/mukul975/anthropic-cybersecurity-skills/hunting-for-dcom-lateral-movement ，来源为 mukul975/anthropic-cybersecurity-skills。