De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft de resultaten gepubliceerd van twee red team-beoordelingen die het gelijktijdig heeft uitgevoerd tegen twee kritieke infrastructuurorganisaties, waarbij gebruik werd gemaakt van wat het omschreef als vergelijkbaar vakmanschap, terwijl het scherp verschillende defensieve resultaten vastlegde.
Beide organisaties waren volledig gecompromitteerd op domeinniveau, en in beide organisaties bereikte het rode team ook gevoelige bedrijfssystemen (SBS’en) en cloudbronnen.
Het advies, bijgehouden als AA26-237A en getiteld “A Tale of Two SOCs”, werd uitgebracht op 25 augustus 2026. CISA identificeerde het eerste doelwit alleen als een organisatie van de overheidsdiensten en faciliteitensector, ook wel Organisatie Aen de tweede als een entiteit van de sector Water- en Afvalwatersystemen, ook wel genoemd Organisatie B.
“CISA voerde twee gelijktijdige rode teambeoordelingen uit met behulp van vergelijkbare ambachten, maar observeerde verschillende defensieve reacties”, aldus het agentschap in het advies.
Tegen organisatie A kreeg het rode team aanvankelijk toegang nadat het een webapplicatie had geïdentificeerd met standaardgegevens voor verschillende ingebouwde accounts, waardoor deze phishing-e-mails vanaf een intern adres kon verzenden en op vier werkstations terecht kon komen.
Vervolgens escaleerde het de rechten door misbruik te maken van een standaard Machine Account Quota naast een verkeerd geconfigureerde Active Directory Certificate Services (AD CS)-sjabloon, dezelfde klasse van misbruik van certificaatsjablonen achter een onlangs onthulde domeinovername-exploit genaamd Certighost.
Het team ging vervolgens toegang krijgen tot drie gevoelige bedrijfssystemen met behulp van inloggegevens die in leesbare tekst waren opgeslagen, waaronder gedecodeerde databaseconfiguratiebestanden en statische Amazon Web Services (AWS)-toegangssleutels die nooit zouden verlopen.
In de cloud stal het een Primary Refresh Token en misbruikte het Entra ID-applicaties met verhoogde rechten om de e-mail van het beveiligingsteam te lezen en te controleren of verdedigers op de hoogte waren van de activiteit.
Organisatie A heeft er niets van ontdekt. CISA zei dat duizenden vals-positieve waarschuwingen uit de normale bedrijfsvoering, waarvan vele met een hogere ernst werden beoordeeld, de waarschuwingen die het rode team genereerde, vertroebelden en dat de organisatie meerdere Security Operations Centers (SOC’s) en eindpunttools beheerde zonder gedeelde zichtbaarheid daartussen.
Analisten hadden ook geen escalatieprocedures en hadden beperkte bevoegdheid om op te treden, en een echte waarschuwing die verband hield met Red Team-activiteit op een System Center Configuration Manager (SCCM)-server werd afgedaan als een vals positief nadat verdedigers de eigenaar van het systeem niet konden identificeren.
CISA heeft de volgende zwakke punten aangemerkt als de belangrijkste factoren die het compromis mogelijk hebben gemaakt:
- Computeraccountquotum op de standaardwaarde gelaten, zodat elke domeingebruiker machineaccounts kan toevoegen.
- AD CS-certificaatsjablonen waren verkeerd geconfigureerd, waardoor certificaataanvragen voor elke gebruiker mogelijk waren (ESC1).
- Inloggegevens in leesbare tekst voor service- en databaseaccounts die zijn opgeslagen op bereikbare systemen.
- Statische cloudtoegangssleutels ingesteld om nooit te verlopen, zonder dat er een token-intrekking heeft plaatsgevonden.
- Toepassingen met te veel toestemming in Entra ID in staat om e-mail van alle gebruikers te lezen.
Organisatie B, die dezelfde aanvalsstijl hanteerde, vertelde een ander verhaal. Het SOC detecteerde de initiële phishing-payloads terwijl deze werden uitgevoerd en isoleerde de getroffen werkstations binnen 2 tot 20 minuten, waardoor de command-and-control (C2)-communicatie werd afgesloten voordat de inbraak zich kon verspreiden.
Omdat die voet aan de grond was verbroken, voerden de vertrouwde agenten van CISA bij de organisatie een red team-payload uit op een aangewezen niet-bevoorrechte host om de toegang te repliceren die het team anders zou hebben verkregen, waardoor de betrokkenheid verschoof naar een model van aanname van inbreuk.
Van daaruit ontdekte het team dezelfde onderliggende problemen, waaronder leesgegevens voor een domeinserviceaccount in een SCCM-configuratiebestand dat rechten over een domeincontroller droeg, die het gebruikte om een DCSync-aanval uit te voeren en het krbtgt-geheim op te halen.
Het team bereikte ook een bastionhost in de gedemilitariseerde zone voor operationele technologie (OT) van Organisatie B, maar de host blokkeerde de uitgaande internettoegang, dus er werd geen C2-kanaal tot stand gebracht en het team betrad de OT-systemen niet zelf.
CISA schreef de kloof tussen de twee uitkomsten toe aan de mensen en processen die de tools bedienen, en niet aan de tools zelf.
“Detectiemiddelen zijn slechts zo effectief als de mensen, processen en procedures die ze ondersteunen”, aldus het agentschap.
