Lateral Movement (MITRE ATT&CK, Taktik TA0008) umfasst alle Techniken, mit denen Angreifer sich von einem kompromittierten System auf weitere bewegen - meist mit zuvor erbeuteten Zugangsdaten. Das Gefährliche daran: Weil gültige Credentials verwendet werden, sehen die Anmeldungen zunächst legitim aus. Dieser Hub zeigt die vier wichtigsten, publizierten Techniken - Pass-the-Hash, PsExec, WMI und RDP - jeweils mit kopierbarem Beispiel-Payload und der passenden Erkennung. Der Schlüssel zur Abwehr liegt in der Anmelde-Telemetrie und in auffälligen Verbindungsmustern.
Was ist Lateral Movement?
Ein einzelner kompromittierter Rechner ist selten das Ziel. Nach Aufklärung (Discovery) und dem Erbeuten von Zugangsdaten (Credential Access) bewegt sich ein Angreifer seitwärts durch das Netz, auf der Suche nach wertvolleren Systemen und höheren Rechten - im Idealfall bis zum Domaincontroller.
Lateral Movement nutzt überwiegend legitime Protokolle und Dienste: SMB, WMI, WinRM, RDP. Das macht die Erkennung anspruchsvoll, aber nicht aussichtslos. Jede dieser Techniken erzeugt charakteristische Anmelde-Ereignisse und Verbindungsmuster. Entscheidend ist, legitime Administration von bösartiger Bewegung zu unterscheiden - etwa über ungewöhnliche Quell-Ziel-Paare und den Anmeldetyp.
| Technik | ATT&CK | Mechanismus | Kurzbeschreibung |
|---|---|---|---|
| Pass-the-Hash | T1550.002 | NTLM | Authentifizierung mit Hash statt Passwort |
| PsExec / SMB | T1021.002 | SMB-Dienst | Remote-Ausführung über Admin-Freigabe und Dienst |
| WMI / WinRM | T1021.006 | WMI/WinRM | Remote-Ausführung ohne neuen Dienst |
| RDP | T1021.001 | Remote Desktop | Interaktive grafische Sitzung |
Operatives Ziel, Voraussetzungen und Alternativen
Das operative Ziel ist, sich mit erbeuteten Zugangsdaten zu wertvolleren Systemen zu bewegen - im Idealfall unauffällig, weil echte Konten genutzt werden. Ein Red Teamer wählt die Methode nach vorhandenem Credential-Typ und erwarteter Telemetrie.
| Frage | Überlegung |
|---|---|
| Wann? | Sobald gültige Credentials vorliegen und Discovery ein lohnendes Ziel gezeigt hat. |
| Voraussetzungen | Ein nutzbares Credential (Hash, Ticket, Passwort) mit Rechten auf dem Ziel und Netzzugang zum passenden Dienst (SMB, WinRM, RDP). |
| Alternativen | WMI/WinRM statt PsExec, wenn kein neuer Dienst auffallen soll; RDP, wenn eine interaktive Sitzung ohnehin normal ist. |
| Tradeoff | PsExec ist zuverlässig, erzeugt aber Dienst und Named Pipe. WMI ist leiser, aber eingeschränkter. RDP ist unauffällig in Admin-Umgebungen, hinterlässt aber klare Logon-Spuren. |
Mit dem Hash des Backup-Dienstkontos bewegt sich das Team bei Nordlicht Logistik per Pass-the-Hash auf den Fileserver. Es wählt bewusst WMI statt PsExec, weil in dieser Umgebung keine neuen Dienste zu erwarten sind und ein Dienstneustart sofort auffiele.
Pass-the-Hash (T1550.002)
Bei NTLM-Authentifizierung genügt der Passworthash - das Klartextpasswort wird nicht benötigt. Ein erbeuteter Hash lässt sich daher direkt zur Anmeldung an anderen Systemen verwenden. CrackMapExec prüft in einem Rutsch, wo ein Hash gültig ist:
Charakteristisch ist eine NTLM-Anmeldung (Event ID 4624, Logon Type 3) dort, wo normalerweise Kerberos genutzt würde, sowie dasselbe Konto, das sich in kurzer Zeit an vielen Hosts anmeldet. Ein lokales Administratorkonto, das sich über das Netz anmeldet, ist besonders verdächtig - LAPS und die Einschränkung lokaler Admin-Anmeldungen wirken hier präventiv. Die Sigma-Regeln dazu stehen auf blue-team.net.
PsExec über SMB (T1021.002)
Der Klassiker der Remote-Ausführung: über die administrative Freigabe ADMIN$ wird eine Binary abgelegt und als Dienst gestartet, der eine SYSTEM-Shell liefert. Impacket bringt eine skriptbare Variante mit:
PsExec-artige Werkzeuge erzeugen auf dem Ziel eine Dienstinstallation (Event ID 7045) und eine charakteristische Named Pipe. Dazu kommen der Zugriff auf die Freigabe ADMIN$ und eine Netzwerkanmeldung (4624, Type 3), gefolgt von einem ungewöhnlichen Kindprozess unter services.exe. Die Kombination aus Freigabezugriff, neuem Dienst und SYSTEM-Prozess ist ein starkes Muster. Erkennungslogik auf blue-team.net.
WMI und WinRM (T1021.006)
WMI und WinRM erlauben Remote-Ausführung, ohne einen neuen Dienst zu installieren - das macht sie unauffälliger als PsExec. Der Befehl wird auf dem Ziel vom WMI-Provider-Host gestartet:
Das verräterische Zeichen ist ein Prozess mit wmiprvse.exe als Elternprozess - etwa cmd.exe oder powershell.exe, von WMI gestartet. WinRM-Verbindungen laufen über die Ports 5985/5986 und erzeugen entsprechende Anmeldungen. Prozesserstellung (Event ID 4688) mit WMI-Provider als Parent und ungewöhnlichem Ziel ist der Kernindikator. Mehr dazu auf blue-team.net.
RDP (T1021.001)
Remote Desktop liefert eine vollständige grafische Sitzung und wird von Angreifern genutzt, sobald gültige Zugangsdaten vorliegen - unauffällig, weil RDP in vielen Umgebungen zur normalen Administration gehört:
RDP-Anmeldungen erscheinen als Event ID 4624 mit Logon Type 10, ergänzt um 4778/4779 (Sitzungs-Verbindung und -Trennung). Verdächtig sind RDP-Verbindungen zwischen Workstations (statt von Admin-Jumphosts), zu ungewöhnlichen Zeiten oder von Konten, die sonst kein RDP nutzen. Netzwerkseitig helfen Verbindungen zu Port 3389 als Indikator. Details auf blue-team.net.
Einordnung und Grenze
Alle gezeigten Techniken sind in Impacket, CrackMapExec, der MITRE-Dokumentation und jedem Pentest-Cheat-Sheet beschrieben. Was dieser Hub bewusst nicht liefert, sind Techniken zur Tarnung dieser Bewegungen gegenüber EDR, manipulierte Protokoll-Implementierungen oder fertige, getarnte Ausführungsketten - der Fokus liegt auf dem Verständnis der Bewegungswege und darauf, wie sich legitime von bösartiger Nutzung unterscheiden lässt.
Die Bewegung durch fremde Netze gehört ausschließlich in autorisierte Tests mit wirksamer Erlaubnis des Berechtigten. Der Zugriff auf fremde Systeme ohne Berechtigung kann abhängig vom Einzelfall strafrechtlich relevant sein. Dieser Beitrag dient der Information und der Absicherung legitimer Sicherheitsarbeit und ist keine Rechtsberatung.
Einordnung in die Angriffskette
Lateral Movement baut direkt auf Credential Access auf und nutzt die Ergebnisse von Discovery. Auf jedem neu erreichten System beginnt der Zyklus mit Execution von Neuem, oft gesteuert über Command & Control. Einen Überblick über alle Taktiken gibt die Payload-Sammlung.
Häufige Fragen
Warum ist Lateral Movement so schwer zu erkennen?
Weil es legitime Protokolle und echte Zugangsdaten nutzt. Die Anmeldungen wirken zunächst normal. Erkennbar wird die Bewegung über den Kontext: ungewöhnliche Quell-Ziel-Paare, NTLM statt Kerberos, lokale Admin-Konten über das Netz und seltene Anmeldetypen.
Was bremst Lateral Movement am wirksamsten?
Netzwerksegmentierung, eindeutige administrative Pfade (Tiered Admin, Jumphosts), LAPS für eindeutige lokale Admin-Passwörter und die Einschränkung von NTLM. Diese Maßnahmen verkleinern die Wege und machen die verbleibenden gut überwachbar.