Detection proposal: Sysinternals ADExplorer Active Directory snapshots

Aperta
  • Qualcosa non va?
#4,393 2 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
55/100
Tipo di issue
Funzionalità
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Ambito
security

Direzione di ricerca

Start with the existing Active Directory Discovery story and related issues #4382 and #4383 to understand how detections are organized. Then inspect the detection content and run contentctl-ng build. Done means both proposed ADExplorer detections build successfully and cover the execution and snapshot behaviors described, including excluding the SchCache schema cache.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

enhancement

Gap. Scattered Spider, LAPSUS$ and ransomware affiliates use Sysinternals ADExplorer to take a full offline snapshot of Active Directory, then convert it for BloodHound or mine it for targets. security_content has no analytic that references ADExplorer (no name, no OriginalFileName, no snapshot file). Sigma has rules keyed on the image name with a -snapshot argument, or on an ADExplorer image writing a .dat file. In my lab each of those caught only 2 of 4 real snapshots: a renamed copy, a GUI menu snapshot and a non-.dat extension each evade at least one of them.

Proposal.

  • Windows Sysinternals ADExplorer Execution (Anomaly, Endpoint.Processes): process name or OriginalFileName AdExp. Triage fields: renamed and snapshot_cli.
  • Windows AD Snapshot Created By ADExplorer (TTP, Sysmon EID 1 + 11): a process with OriginalFileName AdExp that writes any file other than the ADSI schema cache (SchCache\*.sch, written on every connection). This catches renamed copies, GUI snapshots and any extension.

Both would go under the existing Active Directory Discovery story (T1087.002, T1069.002).

Evidence. Windows Server 2025 lab DC with Sysmon 15.22 and 6 cases (4 snapshots, 1 GUI launch without a snapshot, 1 PowerShell LDAP negative). Results: Execution 5/5, Snapshot 4/4, no SchCache false positive. contentctl-ng build passes. Related: #4382, #4383 and the dMSA proposal.

Lingua principale
Python
Stelle
1.7k
Fork
505
Merge medio
3g 10h
PR unite (30g)
50

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di splunk/security_content

Tutte le issue di splunk/security_content

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.