Un'organizzazione ha subito una violazione della sicurezza che ha permesso a un attaccante di inviare bonifici fraudolenti da un PC "hardened" esclusivamente alla banca dell'attaccante tramite connessioni remote. Un analista della sicurezza sta creando una cronologia degli eventi e ha trovato un PC diverso sulla rete contenente malware. Esaminando la cronologia dei comandi, l'analista trova quanto segue: PS>.\mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 Quale delle seguenti descrive meglio come l'attaccante ha ottenuto l'accesso al PC "hardened"?

L'output di Mimikatz, in particolare il comando sekurlsa::pth, indica chiaramente un attacco "pass-the-hash" (PtH). Questo comando permette all'attaccante di autenticarsi a un sistema remoto utilizzando l'hash NTLM di una password, senza conoscere la password in chiaro. L'attaccante ha probabilmente compromesso un altro PC (quello con il malware) per estrarre l'hash di un account con privilegi (come "localadmin" nel dominio "corp-domain.com") e poi ha usato questo hash per accedere al PC "hardened" e inviare i bonifici fraudolenti. Le altre opzioni sono meno probabili: Il malware "fileless" non è direttamente supportato dall'output del comando, che mostra l'esecuzione di un file (mimikatz.exe). L'uso di "living-off-the-land" (LotL) si riferisce all'uso di strumenti di sistema legittimi per scopi malevoli, ma l'esecuzione di Mimikatz è un'attività specifica di un tool di hacking, non un tipico binario LotL. L'ingegneria sociale non è indicata dalla cronologia dei comandi, che mostra un'azione tecnica diretta.