Token-Impersonation.

Windows-Privilegienerweiterungstechnik (MITRE ATT&CK T1134), bei der ein Angreifer ein vorhandenes Access-Token dupliziert und in Code im Kontext eines anderen Benutzers ausfuhrt. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.

Windows-Privilegienerweiterungstechnik (MITRE ATT&CK T1134), bei der ein Angreifer ein vorhandenes Access-Token dupliziert und in Code im Kontext eines anderen Benutzers ausfuhrt.

Token-Impersonation missbraucht das Windows-Token-Modell: Jeder Thread kann ein Access-Token tragen, das festlegt, als wer er handelt. Mit APIs wie OpenProcessToken, DuplicateTokenEx und ImpersonateLoggedOnUser (oder SetThreadToken) kann ein Angreifer mit ausreichendem Privileg (typischerweise SeImpersonatePrivilege, SeAssignPrimaryToken oder SeDebugPrivilege) ein hoher privilegiertes Token stehlen — etwa das SYSTEM-Token von services.exe — und einen neuen Prozess als dieser Benutzer starten. Frameworks wie steal_token in Cobalt Strike, das Metasploit-Modul incognito und Mimikatz token::elevate automatisieren die Technik. ATT&CK fuhrt sie als T1134 Access Token Manipulation mit den Subtechniken Make and Impersonate Token, Create Process with Token und Parent PID Spoofing. Detection setzt auf Sysmon-Event-1/10-Anomalien und 4673/4624-Korrelation per Token-ID.

Schutzmaßnahmen gegen Token-Impersonation kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Access-Token-Manipulation, T1134.