4. fáza útoku hackera: Eskalácia oprávnení

Predstav si klasický akčný film. Zlodej sa v noci vkradne do banky. Nejde hneď k hlavnému trezoru, lebo na ten nemá kľúče. Najprv sa potichu prešmykne cez pootvorené okno na toalete, v šatni ukradne odloženú kartu bežného strážnika (čo je v praxi jeho prvá eskalácia oprávnení), tou si otvorí dvere do velína, tam nájde heslo od trezoru nalepené na monitore a až potom ide po miliónoch.

Presne takto to funguje aj v kybernetickej bezpečnosti. Väčšina tých najväčších a najničivejších útokov na svete nezačne tým, že by útočník získal priamo root prístup alebo ukradol rovno účet doménového administrátora. Hacker sa najprv niekde len ticho uchytí a zabezpečí si zadné vrátka (ak ti inak uniklo, ako presne toto nenápadné uchytenie v systéme prebieha, určite sa vráť k môjmu predchádzajúcemu dielu: Persistence: Udržanie prístupu (3. fáza útoku hackera)). Až potom začína systematicky a trpezlivo zvyšovať svoje privilégiá v sieti, kým sa nedostane k tomu, čo skutočne chce. Tento nenápadný, no fatálny krok sa nazýva eskalácia oprávnení (privilege escalation). Ak si rozmeníme typický životný cyklus útočníka na drobné, ide o moment, keď nastupuje 4. fáza útoku hackera.

Čo je to 4. fáza útoku hackera a prečo o nej musíš vedieť

Poďme si to zadefinovať presne. 4. fáza útoku hackera je ten kritický bod zlomu, v ktorom útočník zneužije existujúce zraniteľnosti systému, chyby v IT konfigurácii alebo obyčajné ľudské zlyhanie na to, aby sa z limitovaného, obyčajného používateľského účtu stal zrazu „niekto, kto môže vo firme urobiť úplne všetko“.

Cieľom útočníka totiž nie je urobiť vizuálny bordel na prvom infikovanom notebooku recepčnej. Cieľom je absolútny prístup k účtom, systémom a dátam, ktoré sú kľúčové pre fungovanie celej organizácie.

V IT svete rozlišujeme dva hlavné smery, ktorými sa tento rast sily uberá:

1. Vertikálna eskalácia oprávnení: Toto je klasika. Z bežného používateľa bez práv (napríklad z účtu radového referenta) sa útočník stane lokálnym administrátorom alebo root užívateľom na danom stroji. Získal práva smerom „hore“.
2. Horizontálna eskalácia: Z jedného obyčajného účtu sa útočník prelezie k iným, rovnako bežným účtom, ale s iným prístupom k dátam. Napríklad z účtu človeka v logistike sa dostane na účet asistentky z HR alebo CFO. Nepotreboval admin práva, potreboval len iný prístup.

V praxi to nikdy nie je len jeden z týchto smerov. Prebiehajú kombinovane. Útočník zbiera ďalšie účty a oprávnenia, a k tomu vykonáva neustály laterálny pohyb (lateral movement) naprieč celou firemnou sieťou, skáče zo servera na server, kým sa nedostane tam, kam potreboval.

Ako útočník premýšľa, keď už je dnu

V tejto štvrtej fáze už hacker neháda naslepo. Má plne funkčný prístup do tvojej infraštruktúry (má kompromitovaný účet, niekde nasadený web shell alebo bežiaci malvér). Vidí zatiaľ len obmedzenú časť tvojho sveta – jednu virtuálnu sieť, jeden server, jedno konto. Sedí za klávesnicou a premýšľa: „Kto má v tejto firme to, čo potrebujem – dáta, peniaze, práva?“

Nepotrebuje zmazať fotky z dovolenky na notebooku v sklade. Jeho cieľom je obrovský, tichý laterálny pohyb s jedinou víziou – dostať sa k:

• doménovému radiču (Domain Controller – srdce celej firmy),
• e-mailovému serveru (on-premise Exchange alebo cloudová pošta),
• systémom s fakturáciou, CRM, HR a dokumentovým úložiskám s citlivými dátami,
• nadradeným administrátorským účtom v cloude (Microsoft 365, Azure, AWS, GCP).

Realistický scenár 1: Z „Fera zo skladu“ až na Domain Admina

Ako to vyzerá v reálnom živote bežnej slovenskej firmy? Útočník získa heslo k bežnému používateľovi cez phishing. Prihlási sa do firemnej VPN, preskúma, k čomu má tento chudák Fero prístup.

Na Ferovom kompromitovanom zariadení potichu spustí nástroje na hľadanie lokálne uložených hesiel v prehliadačoch alebo v pamäti (napríklad cez nástroj Mimikatz). Zistí, že Fero si na plochu uložil PowerShell skript s plaintext heslom na pripojenie k zdieľanému disku. Alebo zneužije zraniteľnosť v neaktualizovanej službe, ktorá na pozadí beží ako lokálny systémový admin.

Boom, vertikálna eskalácia oprávnení je na svete. Z lokálneho admina si vytiahne servisný účet IT oddelenia, ktorý sa minule na tento notebook prihlasoval. Cez tento servisný účet spustí tichý laterálny pohyb a prihlási sa na aplikačný server v serverovni. Tam v konfiguračnom súbore nájde prístupové údaje priamo k doménovým službám. Od tej chvíle je hra na mačku a myš u konca. Útočník sa stáva doménovým administrátorom. Odtiaľto už len vypne antivírusy, ukradne gigabyty dát a v piatok o 23:00 spustí firemný ransomvér.

Realistický scenár 2: AI-phishing a MFA fatigue v modernom cloude

Moderné hackerské skupiny (napríklad neslávne známi Scattered Spider, ktorí položili kasína v Las Vegas) nám jasne ukazujú, že eskalácia oprávnení už dávno nie je len o hľadaní dier v zdrojovom kóde starého Windowsu. Dnes je to predovšetkým o zneužívaní digitálnej identity a obchádzaní viacfaktorového overovania (MFA).

Typický postup roka 2026: Útočník získa meno a heslo do Microsoft 365. Lenže účet chráni MFA. Následne útočník spustí útok zvaný MFA fatigue (únava z MFA). O tretej ráno začne bombardovať mobil obete desiatkami push notifikácií: „Potvrďte prihlásenie, potvrďte prihlásenie“. Používateľ sa v polospánku, z čistého zúfalstva a frustrácie rozhodne jednu z nich odkliknúť na „Áno“, len aby mu mobil prestal vibrovať. (Alternatívne mu útočník zavolá ráno do práce, pomocou AI naklonuje hlas jeho ITčkára a presvedčí ho, aby mu ten šesťmiestny kód nadiktoval).

Po úspešnom prihlásení si útočník okamžite zaregistruje do profilu svoje vlastné zariadenie ako dôveryhodný MFA token. Získava trvalý prístup. Nepoužil na to žiadne zložité hackovanie kódov, len zneužil identitu. Ako „legitímny“ používateľ má vo firme voľnú ruku a pred IT oddelením vyzerá úplne neviditeľne.

Typické techniky eskalácie, ktoré bežné firmy katastrofálne podceňujú

Mnoho IT článkov rieši exotické zraniteľnosti v Linux kerneloch, ale pre 90 % bežných stredných firiem sú najnebezpečnejšie oveľa prozaickejšie a trápnejšie veci:

• Nesprávne nastavené oprávnenia v sieti: Zdieľané zložky, interné Wiki stránky a databázy, do ktorých má z nejakého historického dôvodu prístup „Everyone“ (Každý).
• Služby bežiace ako SYSTEM/Admin bez dôvodu: Rôzne staré účtovné softvéry alebo updatere tlačiarní, ktoré si vyžadujú pri svojom behu najvyššie práva, a dajú sa krásne zneužiť na spustenie škodlivého kódu.
• Uložené heslá voľne pohodené v systéme: Heslá natvrdo vpísané do starých .bat skriptov, konfiguračných súborov, GPO politík alebo v Plánovači úloh.
• Plochá sieť (žiadna segmentácia): Ak účtovníčka môže zo svojho PC voľne „pingnúť“ a pripojiť sa na databázový server s HR údajmi, máte problém. Z kompromitovaného segmentu nesmie byť umožnený priamy skok na kritickú infraštruktúru.
• Slabé alebo nulové logovanie: Ak si neukladáte logy do centrálneho systému, eskalácia prebehne v absolútnom tichu a spätne ju nevie prečítať ani ten najlepší forenzný analytik.

Ako túto fázu odhaliť (kým je ešte čas na záchranu)

Vo štvrtej fáze máš na svojej strane jednu výhodu – útočník už musí byť aktívny. A aktivita robí hluk. Máš reálnu šancu útok zastaviť skôr, než bude neskoro, ak:

• Monitoruješ netypické zmeny: Každé pridanie nového používateľa do skupín ako Domain Admins alebo Global Admins v cloude ti musí okamžite rozblikať červený maják na telefóne.
• Sleduješ nezvyčajné lokality: Fero z logistiky sa práve prihlásil z Nigérie, hoci pred hodinou pípal kartou na turnikete v Bratislave? Alert!
• Máš nasadené EDR a vidíš do procesov: EDR ťa upozorní na pokusy o takzvaný credential dumping (kradnutie hesiel z RAM), masívne mapovanie Active Directory alebo spúšťanie obfuskovaných PowerShell skriptov.
• Prepájaš si logy: Bez moderného SIEM (alebo Log Managementu) si slepý. Zistenie, že prebieha nejaká eskalácia oprávnení, si vyžaduje koreláciu udalostí z firewallu, z Windowsu a z cloudového prostredia do jedného obrázku.

Bez logov zistíš, že si bol hacknutý až vtedy, keď ti na ploche vyskočí tapeta s čiernou lebkou a odpočítavaním na zaplatenie výkupného.

Praktický checklist: Ako nenechať útočníka vo firme vyrásť

Kľúčom k obrane nie je snaha „zaplátovať úplne všetko“ (to sa nedá). Kľúčom je nastaviť prostredie tak, aby bola eskalácia oprávnení pre hackera čo najťažšia, najdlhšia a hlavne – najviac hlučná.

Záver: Urob si z tohto svoju konkurenčnú výhodu

4. fáza útoku hackera je moment, ktorý väčšina firiem stále naivne vníma len ako čistý a nudný technický problém svojich adminov v suteréne. V skutočnosti je to ale ostré zrkadlo vnútornej disciplíny celej organizácie. Zrkadlo toho, či vôbec tušíš, kto má u teba aké prístupové práva, či vieš, kde leží tvoje rodinné striebro (najcitlivejšie dáta) a či si ako riaditeľ ochotný akceptovať trochu nepohodlia pre svojich ľudí výmenou za to, že ráno po prebudení neprídeš o firmu.

Firma, ktorá dokáže túto eskaláciu pochopiť a sťažiť, má neporovnateľne vyššiu šancu zastaviť útok včas. A to je obrovská, hoci na prvý pohľad neviditeľná konkurenčná výhoda. Výhoda, ktorá rozhoduje v tej jedinej sekunde, keď sa to naozaj pokašle.

Zdroje :

proofpoint , manageengine