Organizacja doświadczyła naruszenia bezpieczeństwa, które umożliwiło atakującemu wysyłanie fałszywych przelewów bankowych ze wzmocnionego komputera (hardened PC) wyłącznie do banku atakującego za pośrednictwem połączeń zdalnych. Analityk bezpieczeństwa tworzy oś czasu zdarzeń i znalazł inny komputer w sieci zawierający złośliwe oprogramowanie. Po przejrzeniu historii poleceń analityk znajduje następujące: PS>.\mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 Które z poniższych najlepiej opisuje, w jaki sposób atakujący uzyskał dostęp do wzmocnionego komputera?

Poprawna odpowiedź to atak pass-the-hash (PtH) z użyciem współdzielonego konta wsparcia. Polecenie mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 wyraźnie wskazuje na użycie Mimikatz do wykonania ataku PtH, wykorzystując skrót NTLM (hash) konta localadmin w domenie corp-domain.com. Atak PtH pozwala atakującemu uwierzytelnić się w systemie docelowym bez znajomości rzeczywistego hasła, używając jedynie jego skrótu. Konto localadmin sugeruje konto administracyjne, które mogło być współdzielone lub miało uprawnienia do wzmocnionego komputera. Pozostałe opcje są nieprawidłowe: Brak dowodów na bezplikowe złośliwe oprogramowanie hostowane przez platformę bankową. Chociaż atakujący mógł użyć binariów living-off-the-land, polecenie Mimikatz jest zbyt specyficzne, aby to była najlepsza odpowiedź. Nie ma żadnych wskazówek na inżynierię społeczną; atak był techniczny i dotyczył bezpośredniego dostępu do systemu.