Wann Internet InFormateauf SDienstleistungen (IIS) Wird zu einer Lateralschicht Bewegungsplattform 

Die meisten Angreifer wissen, dass der Zugriff auf die Schreibberechtigungen im IIS-Webverzeichnis zu Codeausführung führen kann. Weniger Menschen erkennen jedoch, dass IIS, wenn es richtig eingesetzt wird, eine leistungsstarke Plattform für die Ausbreitung von Malware sein kann.  

Diese Forschung zeigt, wie eine einzelne ASPX-Seite native, voll in der Arbeitsspeicher ausgeführte Ausführung innerhalb des vertrauenswürdigen IIS-Worker-Prozesses (w3wp.exe) bereitstellen kann – was eine heimliche Ausführung und Bewegung ohne eine traditionelle physische Payload ermöglicht. 

In diesem Artikel erfahren Sie: 

• Wie IIS von einem Webserver in einen Plattform für die Umsetzung von Kompromissen 

• Wie eine einzelne ASPX-Datei die Funktionalität ermöglicht Datei- und Speicherunabhängige native Codeausführung 

• Warum IIS ein hochrangiges Ziel für Hacker ist Ausdauer und seitliche Bewegung 

• Wie moderne Angreifer statische Erkennung umgehen, indem sie in vertrauenswürdigen Prozessen arbeiten 

• Was Verteidiger bei der Überwachung beachten sollten fileless bedeutet nicht unsichtbar 

Für wen es bestimmt ist: 

• Rote Teammitglieder Auf der Suche nach realistischen, geräuscharmen Techniken für die seitliche Bewegung 

• Blue Teamer und SOC-Analysten Die Untersuchung der Dateiunabhängigen Ausführung in IIS-Umgebungen 

• Bedrohungsjäger Auf die Speicheraktivität in vertrauenswürdigen Windows-Prozessen ausgerichtet