Microsoft Defender 现监控黑客滥用 RPC 协议

O安全研究员
O安全研究员

O安全研究员

2026年6月9日 19:52
广东

在小说阅读器读本章

去阅读

Microsoft 已扩展 Microsoft Defender 的能力，以监控、检测并破坏滥用远程过程调用（RPC）的攻击。RPC 是长期被威胁行为者用于横向移动、凭证盗窃和权限升级的核心 Windows 协议。

远程过程调用（RPC）是一种协议，允许位于独立进程甚至远程机器中的函数被当作本地调用。

由于许多Windows和Active Directory的基础功能都基于RPC，RPC已成为企业环境中最具吸引力的攻击面之一。滥用RPC的关键攻击技术包括：

• 横向移动——远程创建任务、服务或通过RPC接口调用WMI
• 凭据盗窃——DCsync 攻击利用 Active Directory 复制 RPC 调用;SecretsDump 及类似工具滥用 Windows 远程注册表接口（UUID： ）提取 SAM 和 LSA 秘密338cd001-2244-31f1-aaaa-900038001003
• 权限升级——认证胁迫攻击迫使服务器通过良性的RPC接口向攻击者控制的系统进行身份验证
• 发现——像SharpHound这样的工具通过RPC调用枚举用户、会话和共享，这些调用映射到MITRE ATT&CK技术T1021、T1552.002、T1003.004和T1003。

Defender的RPC审计工作原理

传统的网络层RPC流量监控在大规模时不切实际，且当底层传输（如SMB3）被加密时，监控完全盲区。

为弥合这一差距，Microsoft 的 Defender 研究和工程团队将现有的 RPC 与 Windows 过滤平台（WFP）集成扩展，实现了 OpNum 级别的细粒度。

这意味着 Defender 现在可以准确识别被调用的 RPC 函数，而不仅仅是接口，而无需拦截或干扰正常流量。

监控重点是服务器主机上观察到的进站远程RPC调用，特别是针对攻击者发起的与暴露RPC接口的交互。本地和出站的RPC调用不在范围内。

Defender 动态监控来自关键接口的选定远程操作，包括远程注册表、服务控制管理器、任务调度器和 Windows 管理仪器（WMI）。

RPC监控通常适用于工作站，目前正在逐步推广服务器。目前已发货的主动检测包括：

• 通过Impacket工具包持续进行的手动键盘攻击
• 可疑的远程服务创建（映射为横向移动）
• 地方安全机构（LSA）秘密盗窃的迹象
• 基于RPC的用户和会话发现异常
• 身份验证强制攻击

安全团队可以直接在高级狩猎标签页中使用操作类型查询RPC遥测数据。

InboundRemoteRpcCall DeviceEvents

Microsoft 分享的截图展示了分析师如何寻找远程注册表密钥保存事件（接口上的 OpNums 20/31）和远程服务创建事件（接口上的 OpNums 12、24、44、45、60），这两者通常与凭据倾卸和横向移动工具包（如 Impacket）相关。

338cd00 1367abb81

这一增强让防守者能够前所未有的视野，了解Windows环境中最常被滥用但历史上不透明的攻击向量之一，直接在Microsoft Defender门户内。