黑客利用Windows RID劫持技术创建隐藏管理员账户
内容提要
朝鲜黑客组织Andariel利用RID劫持技术，欺骗Windows系统将低权限账户视为管理员，通过修改相对标识符（RID）提升权限。为防范此类攻击，建议检查登录尝试、限制特定工具执行，并启用多因素认证。
关键要点
-
朝鲜黑客组织Andariel利用RID劫持技术欺骗Windows系统，将低权限账户视为管理员账户。
-
RID劫持通过修改相对标识符（RID）实现，攻击者需要获得SYSTEM权限才能执行此攻击。
-
Andariel通过利用漏洞获得SYSTEM权限，并使用工具如PsExec和JuicyPotato进行初始权限提升。
-
攻击者创建隐藏的低权限本地用户，并通过RID劫持提升其权限为管理员。
-
为了防范RID劫持攻击，建议检查登录尝试、限制特定工具执行，并启用多因素认证。
-
RID劫持技术早在2018年就已被公开，安全研究员曾在DerbyCon 8上演示过。
延伸解读
RID劫持的技术背景
RID劫持技术利用Windows系统中的相对标识符（RID）来提升账户权限。这种技术早在2018年就被安全研究员公开，表明其存在已久，且可能被更多黑客组织利用。了解这一技术的历史背景，有助于安全团队更好地识别和防范潜在威胁。
防范措施的重要性
为了有效防范RID劫持攻击，系统管理员应采取多种措施，如启用多因素认证和限制特定工具的执行。这些措施不仅能降低攻击风险，还能提高系统的整体安全性。管理员应定期检查系统日志和登录尝试，以便及时发现异常活动。
Andariel的攻击策略
Andariel黑客组织通过先获得SYSTEM权限，再创建隐藏账户并进行RID劫持，展现了其复杂的攻击策略。这种方法不仅隐蔽，还能有效规避检测，提醒企业在安全防护上需保持警惕，特别是对权限管理和账户监控的重视。
延伸问答
RID劫持技术是如何工作的？
RID劫持通过修改低权限账户的相对标识符（RID），使其与管理员账户的RID值匹配，从而提升权限。
Andariel黑客组织是如何进行RID劫持攻击的？
Andariel通过利用漏洞获得SYSTEM权限，使用工具如PsExec和JuicyPotato创建隐藏的低权限账户，并进行RID劫持。
如何防范RID劫持攻击？
建议检查登录尝试、限制特定工具执行、禁用来宾账户，并为所有账户启用多因素认证。
RID劫持技术的历史背景是什么？
RID劫持技术早在2018年就已被公开，安全研究员曾在DerbyCon 8上演示过这种技术。
Andariel与Lazarus黑客组织有什么关系？
Andariel被认为与朝鲜的Lazarus黑客组织有关联，属于同一威胁网络。
执行RID劫持攻击需要什么权限？
攻击者需要获得SYSTEM权限才能执行RID劫持攻击。
