Eine Organisation erlitt eine Sicherheitsverletzung, die es einem Angreifer ermöglichte, betrügerische Überweisungen von einem gehärteten PC ausschließlich an die Bank des Angreifers über Remote-Verbindungen zu senden. Ein Sicherheitsanalyst erstellt eine Zeitleiste der Ereignisse und hat einen anderen PC im Netzwerk gefunden, der Malware enthält. Bei der Überprüfung des Befehlsverlaufs findet der Analyst Folgendes: PS>.\mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 Welches der folgenden beschreibt am besten, wie der Angreifer Zugriff auf den gehärteten PC erlangt hat?

Die Ausgabe sekurlsa::pth in Mimikatz ist ein starker Indikator für einen Pass-the-Hash (PtH)-Angriff. Bei einem PtH-Angriff verwendet ein Angreifer den NTLM-Hash eines Benutzerpassworts, anstatt das Klartextpasswort selbst, um sich bei anderen Systemen im Netzwerk zu authentifizieren. Die Befehlszeile zeigt die Verwendung eines localadmin-Kontos, was auf ein Support-Konto hindeutet, das oft auf mehreren Systemen vorhanden ist und somit ein ideales Ziel für solche Angriffe darstellt. Die anderen Optionen sind weniger wahrscheinlich: Dateilose Malware würde nicht direkt durch diesen Befehl angezeigt. Living-off-the-Land-Binärdateien würden sich auf die Verwendung legitimer Systemtools beziehen, nicht auf Mimikatz. Soziale Manipulation (Social Engineering) würde nicht durch diesen technischen Befehl im Befehlsverlauf belegt.