De meeste IT-professionals richten zich op het voorkomen dat aanvallers binnenkomen. Een recent onderzoek van Huntress Labs laat zien wat er gebeurt nadat een aanvaller eenmaal toegang heeft verkregen en waarom dit net zo belangrijk is. In plaats van direct data te stelen, bestanden te versleutelen of ransomware te plaatsen, nemen aanvallers vaak de tijd om zich te nestelen. Ze creëren backdoors, wissen sporen en schakelen beveiligingsmiddelen uit die hen kunnen detecteren.

Een praktijkvoorbeeld uit juni illustreert dit proces. De aanvaller maakte gebruik van een SQL-injectie, een veelvoorkomende en goed te voorkomen kwetsbaarheid waarbij een webpagina gebruikersinvoer niet goed controleert, waardoor toegang tot het onderliggende Windows-systeem mogelijk werd. In dit geval was de aanval gericht op een webserver met Microsoft SQL Server, maar niet direct op de database zelf.

Eenmaal binnen voerde de aanvaller een Windows-commando uit om lopende services te inventariseren, een standaard stap om het netwerk te verkennen en mogelijke doelen te identificeren. De resultaten werden naar een externe server gestuurd, vermoedelijk voor latere analyse. Vervolgens werden er meerdere aanpassingen doorgevoerd om de controle te verstevigen: Remote Desktop werd ingeschakeld, een nieuw gebruikersaccount met administratorrechten aangemaakt en via Remote Desktop ingelogd. Ook werd Windows Defender uitgeschakeld, terwijl andere beveiligingstools zoals EDR ongemoeid bleven, wat erop kan wijzen dat deze niet werden opgemerkt of niet uitgeschakeld konden worden.

Daarnaast installeerde de aanvaller kwaadaardige modules van de malwarefamilie BadIIS op de IIS-webserver. Deze modules worden gebruikt om legitiem webverkeer te kapen voor zoekmachinefraude, bezoekers om te leiden of verborgen links te injecteren, zonder dat de eigenaar van de website dit merkt. Tot slot werd er ook een cryptominingprogramma geïnstalleerd, waarmee de aanvaller de verwerkingskracht van het systeem gebruikte om cryptocurrency te minen.