Persistence bezeichnet Techniken, mit denen ein Angreifer dauerhaften Zugang zu einem System sichert, sodass er auch nach Neustart, Passwortwechsel oder Bereinigung wieder Zugriff hat.
Persistence – auf Deutsch Persistenz oder dauerhafter Zugang – umfasst alle Techniken, mit denen ein Angreifer seinen Zugang zu einem kompromittierten Umfeld absichert. Der erste Zugang ist flüchtig: Ein Rechner wird neu gestartet, ein Passwort geändert, eine Sitzung läuft ab. Damit der Zugriff nicht verloren geht, verankert sich der Angreifer so, dass er jederzeit zurückkehren kann – idealerweise auf mehreren Wegen, falls einer entdeckt wird. Persistence ist damit die Versicherung des Angreifers gegen Entdeckung und Bereinigung.
In MITRE ATT&CK ist Persistence eine eigene Taktik (TA0003) mit zahlreichen Techniken, von Autostart-Einträgen („Boot or Logon Autostart Execution“, T1547) über geplante Aufgaben (T1053) bis zur Manipulation von Konten (T1098). Viele Mechanismen überschneiden sich mit Privilege Escalation, weil sie zugleich Rechte sichern und Rückkehr ermöglichen.
So funktioniert es
Persistence lässt sich nach der Ebene unterscheiden, auf der sie ansetzt:
- Auf dem Endpunkt: Autostart-Einträge, geplante Aufgaben, neue Dienste, manipulierte Verknüpfungen oder Office-Add-ins, die das Implantat bei jedem Start erneut laden.
- Über Konten: Anlegen eigener Konten, Hinzufügen zu privilegierten Gruppen oder Hinterlegen zusätzlicher Zugangsdaten und Zertifikate an bestehenden Konten.
- In der Identitätsinfrastruktur: Im Active Directory etwa ein Golden Ticket oder manipulierte Delegationen; in der Cloud zusätzliche Anmeldeinformationen an App-Registrierungen. Diese Formen überleben selbst das Neuaufsetzen einzelner Rechner.
- In der Peripherie: Backdoors auf Netzwerkgeräten, VPN-Gateways oder in selten überwachter Firmware.
Erfahrene Angreifer legen mehrere, unterschiedlich auffällige Mechanismen an. Ein leicht zu findender dient als Köder; der eigentliche, unauffällige bleibt bestehen, nachdem die Verteidiger den ersten entfernt haben und sich in Sicherheit wiegen.
Bedeutung für Unternehmen
Persistence ist der Grund, warum unvollständige Incident Response gefährlich ist. Wer nach einem Vorfall nur den offensichtlich betroffenen Rechner neu aufsetzt, aber die in der Identitätsinfrastruktur verankerten Zugänge übersieht, hat den Angreifer nicht vertrieben, sondern ihm nur eine Pause verschafft. Besonders heikel ist Persistence auf Ebene der Domäne: Ein Golden Ticket oder ein kompromittiertes krbtgt-Konto erlaubt die Rückkehr, bis das zugrunde liegende Geheimnis zweimal zurückgesetzt wurde.
In unseren Einsätzen etablieren wir Persistence kontrolliert und vollständig dokumentiert, um die Erkennung zu prüfen und den Mehrwert einer sauberen Bereinigung zu zeigen. Alle Mechanismen werden im Rückbau restlos entfernt – und im Bericht als Indikatoren übergeben.
Schutz und Prüfung
- Autostart-Mechanismen überwachen: Neue Dienste, geplante Aufgaben und Autostart-Einträge als Erkennungsregeln im EDR und SIEM hinterlegen.
- Konten kontrollieren: Alarme auf neue Konten, Änderungen an privilegierten Gruppen und neu hinzugefügte Zugangsdaten oder Zertifikate.
- Vollständige Bereinigung: Nach einem Vorfall auch Identitätsinfrastruktur prüfen; bei Verdacht auf Domänenkompromittierung das krbtgt-Passwort regelkonform zweimal zurücksetzen.
- Peripherie nicht vergessen: Firmware, Netzwerkgeräte und Fernzugänge in die Prüfung einbeziehen.
- Bereinigung testen: Ein unter Realbedingungen getesteter Incident-Response-Plan zeigt, ob Ihre Organisation Persistence tatsächlich findet und entfernt.