[AD] Reaper NBNS+LLMNR+Logon 4624+Logon ID
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
本文讨论了一起网络攻击事件，攻击者通过LLMNR投毒和SMB链接获取多个工作站的凭证，导致恶意访问和账户被盗。
🎯
关键要点
-
攻击者通过LLMNR投毒和SMB链接获取多个工作站的凭证。
-
被盗账户的用户名为arthur.kyle。
-
攻击者使用的未知设备IP地址为172.17.79.135。
-
恶意登入发生在工作站FORELA-WKSTN002，来源IP为172.17.79.135。
-
恶意登入时间为2024年7月31日04:55:16 UTC。
-
攻击者在身份验证过程中访问的共享名称为\*\
-
LLMNR投毒成功后，Forela-Wkstn002与攻击者进行SMB链接。
🔎
延伸解读
攻击手法分析
本文提到的LLMNR投毒和SMB链接攻击手法，显示了网络安全中的一个重要漏洞。攻击者通过伪造响应来获取凭证，这种方式在局域网环境中尤其有效，提醒企业在网络配置中加强对LLMNR的管理和监控。
账户安全风险
被盗的账户用户名为arthur.kyle，表明攻击者可能针对特定用户进行攻击。企业应定期审查用户权限和访问记录，及时发现异常活动，以降低账户被盗的风险。
恶意登入的后果
恶意登入发生在特定工作站FORELA-WKSTN002，且来源IP为172.17.79.135。这种攻击可能导致敏感数据泄露或系统被进一步控制，企业需加强对工作站的安全防护，确保及时响应潜在威胁。
❓
延伸问答
攻击者是如何获取工作站凭证的？
攻击者通过LLMNR投毒和SMB链接获取多个工作站的凭证。
被盗账户的用户名是什么？
被盗账户的用户名为arthur.kyle。
恶意登入发生在哪个工作站？
恶意登入发生在工作站FORELA-WKSTN002。
攻击者使用的未知设备的IP地址是什么？
攻击者使用的未知设备IP地址为172.17.79.135。
恶意登入的时间是什么时候？
恶意登入时间为2024年7月31日04:55:16 UTC。
攻击者在身份验证过程中访问了哪个共享名称？
攻击者在身份验证过程中访问的共享名称为\*\IPC$。
🏷️
