Bei Organisation A verschaffte sich das Red Team den Erstzugang über eine Webanwendung, in der für mehrere integrierte Konten noch die Standardzugangsdaten aktiv waren. Darüber ließen sich Phishing-Mails von einer internen Absenderadresse verschicken; am Ende standen vier kompromittierte Arbeitsplatzrechner.
Die Rechteausweitung gelang durch den Missbrauch der standardmäßig gesetzten Machine Account Quota in Kombination mit einer fehlkonfigurierten Vorlage der Active Directory Certificate Services (AD CS) – dieselbe Klasse von Zertifikatsvorlagen-Missbrauch, die auch hinter dem kürzlich offengelegten Domain-Übernahme-Exploit „Certighost" steht.
Anschließend erreichte das Team drei sensible Geschäftssysteme, weil Zugangsdaten im Klartext vorlagen – darunter entschlüsselte Konfigurationsdateien von Datenbanken sowie statische AWS-Zugriffsschlüssel, die so konfiguriert waren, dass sie nie ablaufen. In der Cloud entwendete das Team ein Primary Refresh Token und nutzte Entra-ID-Anwendungen mit erhöhten Berechtigungen, um die E-Mails des Sicherheitsteams mitzulesen und zu prüfen, ob die Verteidiger die Aktivitäten bemerkt hatten.
Das war nicht der Fall. Nach Darstellung von CISA gingen die vom Red Team ausgelösten Meldungen in Tausenden Fehlalarmen aus dem normalen Geschäftsbetrieb unter, von denen viele sogar höher eingestuft waren. Die Organisation betrieb mehrere Security Operations Center und mehrere Endpunktwerkzeuge parallel, ohne gemeinsame Sichtbarkeit zwischen ihnen.
Hinzu kam, dass den Analysten Eskalationsverfahren fehlten und sie nur eingeschränkt handlungsbefugt waren. Ein tatsächlich korrekter Alarm zu Red-Team-Aktivitäten auf einem Server des System Center Configuration Manager (SCCM) wurde als Fehlalarm abgetan, nachdem sich der Eigentümer des Systems nicht ermitteln ließ.
Bei Organisation B verlief der Auftakt anders: Das SOC erkannte die Phishing-Nutzlasten jeweils bei der Ausführung und isolierte die betroffenen Rechner innerhalb von zwei bis 20 Minuten. Damit war die Command-and-Control-Kommunikation unterbrochen, bevor sich der Angriff ausbreiten konnte.
Weil der Brückenkopf gekappt war, führten die eingeweihten Ansprechpartner der Organisation eine Red-Team-Nutzlast auf einem eigens bestimmten, nicht privilegierten Host aus, um den Zugang nachzubilden, den das Team andernfalls erlangt hätte. Die Übung wechselte damit in ein Assume-Breach-Modell.
Die strukturellen Schwächen glichen sich anschließend: In einer SCCM-Konfigurationsdatei fanden sich Klartext-Zugangsdaten eines Domänen-Dienstkontos, das Rechte über einen Domänencontroller besaß. Damit führte das Team einen DCSync-Angriff aus und erlangte das krbtgt-Geheimnis.
Auch einen Bastion-Host in der demilitarisierten Zone des Betriebstechnik-Netzes (OT) erreichte das Team. Da dieser Host ausgehenden Internetzugriff blockierte, kam kein C2-Kanal zustande; in die OT-Systeme selbst drang das Team nicht vor.