SOCKS Proxies in Red Team Engagements

In the ever-evolving landscape of red team operations, maintaining persistent and covert communication channels is crucial for successful engagements. Recently, it has become more and more important to be aware of which process is doing what. For example, notepad.exe communicating to the Internet is weird, while it’s totally normal for chrome.exe. But chrome.exe communicating to file shares or domain controllers in the network? Strange again. This post explores how SOCKS proxies can help solve this issue while also providing defenders with the knowledge needed to detect these approaches.

What is Chisel?

While we’ve been utilizing Chisel for this kind of evasion in our Red Team engagement for a while now, threat actors increased their usage as well, resulting in more and more attention being drawn […]

Von Benedikt Strobl|2025-12-18T09:32:51+01:0012. Dezember 2025|

Azure Arc – Part 3 – General Security Considerations

Azure Arc is Microsoft’s solution to allow customers to manage on-premises resources (servers and the likes) using Azure Resource Manager, i.e. the Azure Portal, CLI and the Azure PowerShell module. It basically enables on-premise server management in a way that it feels like you’re administrating an Azure Virtual Machine instead of an on-premises server. Note that Azure Arc supports Windows and Linux, but this blog series will only cover aspects of Windows machines.

This post is part of a blog series covering the security implications of an Azure Arc deployment. The first part is a technical deep-dive into the possibilities of an attacker who gained access to the machine itself, and which implications that has for the Cloud environment. The second part of the series […]

Von Benedikt Strobl|2024-12-11T09:08:55+01:0011. Dezember 2024|

Azure Arc – Part 2 – Escalation from Cloud to On-Premises

Azure Arc is Microsoft’s solution to allow customers to manage on-premises resources (servers and the likes) using Azure Resource Manager, i.e. the Azure Portal, CLI and the Azure PowerShell module. It basically enables on-premise server management in a way that it feels like you’re administrating an Azure Virtual Machine instead of an on-premises server. Note that Azure Arc supports Windows and Linux, but this blog series will only cover aspects of Windows machines.

This post is part of a blog series covering the security implications of an Azure Arc deployment. The first part is a technical deep-dive into the possibilities of an attacker who gained access to the machine itself, and which implications that has for the Cloud environment. This second part of the series deals […]

Von Benedikt Strobl|2024-11-25T14:06:23+01:0025. November 2024|

Azure Arc – Part 1 – Escalation from On-Premises to Cloud

Azure Arc is Microsoft’s solution to allow customers to manage on-premises resources (servers and the likes) using Azure Resource Manager, i.e. the Azure Portal, CLI and the Azure PowerShell module. It basically enables on-premise server management in a way that it feels like you’re administrating an Azure Virtual Machine instead of an on-premises server. Note that Azure Arc supports Windows and Linux, but this blog series will only cover aspects of Windows machines.

This post is part of a blog series covering the security implications of an Azure Arc deployment. This first part is a technical deep-dive into the possibilities of an attacker who gained access to the machine itself, and which implications that has for the Cloud environment. The second part of the series deals with […]

Von Benedikt Strobl|2024-11-18T09:23:48+01:0018. November 2024|

Azure – Code Execution Through Machine Configuration

One of the most common ways for attackers to escalate from Azure Cloud to on-premises environments are Azure managed machines (Azure virtual machines, Azure Arc joined systems, etc.) that either are directly domain-joined, part of MS Entra Directory Services or only have a network connection to on-premises infrastructure. Either way, the first step in this escalation is always code execution on that machine.

There are two commonly used and quite well understood means to execute code on Azure managed machines: through the „Run Command“ feature, the way intended by Microsoft to do it, and through installing a Custom Script Extension. There are others (see Azure Threat Research Matrix) that are less known, too. Usually, from a Red Teamer’s point of view, […]

Von Benedikt Strobl|2024-11-18T09:21:43+01:0024. Oktober 2024|

Härtungsmaßnahme Protected Process Light

Eine der meistverwendeten Techniken in Hacker-Angriffen oder eben auch in einem Red Team Assessment ist das Auslesen von Zugangsdaten (Passwörter, Hashes, Tickets, Sessions Keys, etc.) aus dem Arbeitsspeicher. Zentraler Angriffspunkt für diese Technik ist die Local Security Authority (LSA) bzw. der zugehörige Windows-Prozess Local Security Authority Server Service (LSASS). Dieser Prozess ist dafür verantwortlich, entfernte und lokale Login-Prozesse durchzuführen und eventuelle Einschränkungen zu erzwingen. Entsprechend befinden sich im Arbeitsspeicher des Prozesses eine Vielzahl an sensiblen Informationen, die für diese Abläufe notwendig sind. Da unter Windows jeder Administrator standardmäßig über das Debug-Privileg (SeDebugPrivilege) verfügt und daher den Arbeitsspeicher jedes Prozesses einsehen kann, sind diese Daten dort vor einem Hacker mit administrativen Rechten nicht wirklich sicher. Tools wie mimikatz oder WCE […]

Von Benedikt Strobl|2026-01-12T12:24:24+01:0023. November 2021|

Abwehr von Phishing: Defense in Depth

Bei NSIDE ATTACK LOGIC hören wir einige Fragen immer wieder. Dazu zählen „Was kann man denn gegen Phishing überhaupt machen?“ oder „Gegen Phishing kann man doch eh nichts tun, oder?“. Auch wir erleben immer wieder in Red Team Assessments, dass bei einem stark auf das Ziel zugeschnittenen Spear Phishing trotz ausgefeilter technischer Abwehrmaßnahmen am Ende doch unsere RATs („Remote Access Trojan“) ausgeführt werden und wir einen Zugang zum internen Netzwerk unseres Kunden erhalten. Auch Phishing Simulationen, die wir im Rahmen von Awareness Trainings bei unseren Kunden durchführen, haben wir – trotz teilweise häufiger Wiederholungen – noch nie auf 0 % Fehlverhalten gelenkt bekommen. Selbst Kunden, die regelmäßig, also z.B. einmal im Quartal, ein Phishing mit ihren Mitarbeitern durchführen, schaffen […]

Von Benedikt Strobl|2026-01-12T12:24:24+01:006. Oktober 2021|

IT-Sicherheit in der Cloud

Der Trend der letzten Jahre, immer mehr Anwendungen und Daten in die Cloud zu verschieben und dort zu verarbeiten, geht natürlich auch an der IT Security Branche nicht spurlos vorbei. Jedoch war die Cloud bisher für die meisten fachlich und technisch für diese Anwendungen und Datenverantwortlichen maximal eine Spielwiese. Zusätzlich ist gerade dem Management meist nicht bewusst, dass jemand, der viel Erfahrung in klassischer on-premise-Administration von Systemen hat, diese nicht zwangsweise auch eins zu eins in die Cloud-Welt übertragen kann. Gerade aus Sicherheitssicht, sowohl technischer als auch organisatorischer Natur, ergeben sich viele neue Abhängigkeiten und Anforderungen, die in einem klassischen Umfeld nicht gegeben wären.

Wenn es um IT-Sicherheit in der Cloud geht, ist der erste Gedanke bei vielen: „Darum kümmert sich doch jetzt der Cloud-Anbieter?“ Leider […]

Von Benedikt Strobl|2026-01-12T12:24:23+01:0028. Mai 2021|

Keylogging mal anders: wdigest & tspkg

In einem Red Team Assessment kommt es häufig vor, dass man Administratorrechte auf einem einzelnen Windows-Server erlangt. Meistens geschieht dies durch Kompromittieren der Zugangsdaten eines Administrators des Servers, aber auch ein veraltetes Betriebssystem oder eine Sicherheitslücke in einer Anwendung auf dem Server sind häufige Gründe. Zunächst einmal ein kleiner Erfolg für uns als simulierte Angreifer (also Red Teamer), der uns aber nicht notwendigerweise weiter bringt auf unserem Weg zu kritischen Funktionen des Zielunternehmens. Nach der initialen Überprüfung der defensiven Kapazitäten des Server (also Identifizierung der Antiviren- und EDR-Systeme sowie der aktiven Härtungsmaßnahmen wie AppLocker oder Constrained Language Mode) erfolgt als nächstes das „Looting“ des Servers, also das Suchen nach für uns wertvollen Informationen. Ob nun das Auslesen von Zugangsdaten aus dem Arbeitsspeicher […]

Von Benedikt Strobl|2026-01-12T12:24:22+01:0013. April 2021|

Erweiterte Zustandsverfolgung für SQLMAP

Während eines Red Team Assessments bei eines unserer Kunden stand der Autor des Artikels zuletzt vor einer prinzipiell recht angenehmen Situation: in einer internen Webanwendung konnte er eine SQL Injection identifizieren, die ausnutzbar schien. Die Anwendung war relativ klein und nur für einen eingeschränkten Benutzerkreis zugänglich, aber laut Aussagen interner Dokumentation zusammen mit anderen, größeren Anwendungen für die Verwaltung unternehmenskritischer Daten zuständig. Also ein äußerst interessantes Angriffsziel für jemanden, der genau auf diese Daten aus wäre.

Um nun das Ziel des Tests zu erfüllen und an die sensiblen Daten zu kommen, musste die Schwachstelle ausgenutzt werden. Das beste Tool hierfür ist zweifelsohne sqlmap [1]. Es gab allerdings mehrere Herausforderungen beim Ausnutzen der Schwachstelle für sqlmap: zunächst handelte es sich um eine Second-Order Injection. Das bedeutet, dass […]

Von Benedikt Strobl|2021-03-16T14:25:04+01:0024. Februar 2019|

Red Team Assessment

Penetrationstest

Trainings & Workshops

bstrobl

Über Benedikt Strobl

BLEIBEN SIE AUF DEM LAUFENDEN