my tweets are severely limited by my lack of understanding of what I am doing.
RDP session hijacking works without authentication, using built in OS tool. Unlocks locked sessions, doesn't generate log.
Pokaż ten wątek
Sysmon is a quality way to detect RDP session hijacking, which I wrote about here: https://medium.com/@networksecurity/rdp-hijacking-how-to-hijack-rds-and-remoteapp-sessions-transparently-to-move-through-an-da2a1e73a5f6?source=linkShare-7db6d2df42a6-1505686152 …https://twitter.com/moti_b/status/909449115477659651 …
-
-
-
For bonus points it works on physical console session + doesn't need RDP feature installed. Worth playing with.
Pokaż ten wątek
Koniec rozmowy
Nowa rozmowa -
-
-
But does it have to be admin?
-
Yes. As usual this is blocked by adhering to the principal of least privilege.
- Pokaż odpowiedzi
Nowa rozmowa -
-
-
Good find should also monitor taskmanager tsadmin mmc ? Hoping to distinguish by rds events so we can preventhttps://twitter.com/remkoweijnen/status/874700626042781697 …
2:20Dziękujemy. Twitter skorzysta z tych informacji, aby Twoja oś czasu bardziej Ci odpowiadała. CofnijCofnij
-
-
-
Can also use psexec from pstools to easily become SYSTEM
-
Need to be an admin to run psexec successfully
- Pokaż odpowiedzi
Nowa rozmowa -
-
-
I wrote about this here as well: http://blog.win-fu.com/2017/03/the-fuzz-about-terminal-services.html?m=1 … don't use admin for endpoint logons + don't allow domainadmins to logon to them
Dziękujemy. Twitter skorzysta z tych informacji, aby Twoja oś czasu bardziej Ci odpowiadała. CofnijCofnij
-
-
-
Love Sysinternals, I use them for post breach analysis
Dziękujemy. Twitter skorzysta z tych informacji, aby Twoja oś czasu bardziej Ci odpowiadała. CofnijCofnij
-
-
-
-
yep, it's not bad. there's bypasses, e.g. rename tscon. You could probably monitor by hash, however.
Koniec rozmowy
Nowa rozmowa -
Wydaje się, że ładowanie zajmuje dużo czasu.
Twitter jest przeciążony lub wystąpił chwilowy problem. Spróbuj ponownie lub sprawdź status Twittera, aby uzyskać więcej informacji.