Хакване на скрита парола със Smexec

Пишем редовно за това как хакерите често разчитат на експлоатиране методи за хакване без зловреден кодза да избегнете откриване. Те са буквално "оцелявам на паша", използвайки стандартни инструменти на Windows, като по този начин заобикаля антивируси и други помощни програми за откриване на злонамерена дейност. Ние, като защитници, сега сме принудени да се справяме с неприятните последици от такива хитри хакерски техники: добре позициониран служител може да използва същия подход за тайна кражба на данни (интелектуална собственост на компанията, номера на кредитни карти). И ако той не бърза, а работи бавно и тихо, ще бъде изключително трудно - но все пак възможно, ако използва правилния подход и подходящия Инструменти, — за идентифициране на такава дейност.

От друга страна, не бих искал да демонизирам служителите, защото никой не иска да работи в бизнес среда направо от 1984 г. на Оруел. За щастие има редица практически стъпки и лайфхакове, които могат да направят живота на вътрешните хора много по-труден. Ще обмислим методи за скрита атака, използван от хакери от служители с известен технически опит. И малко по-нататък ще обсъдим възможностите за намаляване на такива рискове - ще проучим както техническите, така и организационните възможности.

Какво не е наред с PsExec?

Едуард Сноудън, правилно или не, се превърна в синоним на кражба на вътрешни данни. Между другото, не забравяйте да погледнете тази бележка за други вътрешни лица, които също заслужават известен статус на слава. Един важен момент, който си струва да се подчертае относно методите, използвани от Сноудън, е, че доколкото ни е известно, той не се инсталира без външен зловреден софтуер!

Вместо това Сноудън използва малко социално инженерство и използва позицията си на системен администратор, за да събира пароли и да създава идентификационни данни. Нищо сложно - никакво мимикац, атаки човек-в-средата или metasploit.

Организационните служители не винаги са в уникалната позиция на Сноудън, но има редица уроци, които трябва да се научат от концепцията за „оцеляване чрез паша“, които трябва да са наясно – да не участват в злонамерени дейности, които могат да бъдат открити, и да бъдат особено внимавайте с използването на идентификационни данни. Запомнете тази мисъл.

Psexec и негов братовчед crackmapexec са впечатлили безброй пентестъри, хакери и блогъри за киберсигурност. И когато се комбинира с mimikatz, psexec позволява на нападателите да се движат в рамките на мрежата, без да е необходимо да знаят паролата с чист текст.

Mimikatz прихваща NTLM хеша от процеса LSASS и след това предава токена или идентификационните данни – т.нар. "предаване на хеш" атака – в psexec, позволявайки на атакуващ да влезе в друг сървър като на друг потребител. И с всяко следващо преместване на нов сървър, атакуващият събира допълнителни идентификационни данни, разширявайки обхвата на своите възможности при търсене на налично съдържание.

Когато за първи път започнах да работя с psexec, това ми се стори магическо - благодаря Марк Русинович, брилянтният разработчик на psexec - но аз също знам за неговия шумен компоненти. Той никога не е потаен!

Първият интересен факт за psexec е, че той използва изключително сложни SMB мрежов файлов протокол от Microsoft. Използвайки SMB, psexec прехвърля малки двоен файлове към целевата система, като ги поставите в папката C:Windows.

След това psexec създава услуга на Windows, използвайки копирания двоичен файл и го изпълнява под изключително „неочакваното“ име PSEXECSVC. В същото време всъщност можете да видите всичко това, както направих аз, като наблюдавате отдалечена машина (вижте по-долу).

Телефонната карта на Psexec: услуга „PSEXECSVC“. Той изпълнява двоичен файл, който е поставен чрез SMB в папката C:Windows.

Като последна стъпка се отваря копираният двоичен файл RPC връзка към целевия сървър и след това приема контролни команди (чрез cmd обвивката на Windows по подразбиране), като ги стартира и пренасочва входа и изхода към домашната машина на атакуващия. В този случай нападателят вижда основния команден ред - същият, както ако беше свързан директно.

Много компоненти и много шумен процес!

Сложната вътрешност на psexec обяснява съобщението, което ме озадачи по време на първите ми тестове преди няколко години: „Стартиране на PSEXECSVC...“, последвано от пауза, преди да се появи командният ред.

Psexec на Ipacket всъщност показва какво се случва под капака.

Не е изненадващо: psexec свърши огромно количество работа под капака. Ако се интересувате от по-подробно обяснение, вижте тук от това прекрасно описание.

Очевидно, когато се използва като инструмент за системна администрация, което беше първоначално предназначение psexec, няма нищо лошо в "бръмченето" на всички тези механизми на Windows. За един нападател обаче psexec би създал усложнения, а за предпазлив и хитър вътрешен човек като Сноудън psexec или подобна помощна програма биха били твърде голям риск.

И тогава идва Smbexec

SMB е умен и таен начин за прехвърляне на файлове между сървъри и хакери проникват директно в SMB от векове. Мисля, че всички вече знаят, че не си струва отворен SMB портове 445 и 139 към интернет, нали?

На Defcon 2013, Ерик Милман (brav0hax) представени smbexec, така че пентестърите да могат да изпробват скрито SMB хакване. Не знам цялата история, но тогава Impacket допълнително усъвършенства smbexec. Всъщност, за моето тестване, изтеглих скриптовете от Impacket в Python от Github.

За разлика от psexec, smexec избягва прехвърляне на потенциално открит двоичен файл към целевата машина. Вместо това, помощната програма живее изцяло от паша до стартиране местен Команден ред на Windows.

Ето какво прави: предава команда от атакуващата машина чрез SMB към специален входен файл и след това създава и изпълнява сложен команден ред (като услуга на Windows), който ще изглежда познат на потребителите на Linux. Накратко: стартира нативна cmd обвивка на Windows, пренасочва изхода към друг файл и след това го изпраща чрез SMB обратно към машината на атакуващия.

Най-добрият начин да разберете това е да погледнете командния ред, до който успях да се докопам от регистъра на събитията (вижте по-долу).

Не е ли това най-добрият начин за пренасочване на I/O? Между другото, създаването на услуга има идентификатор на събитие 7045.

Подобно на psexec, той също създава услуга, която върши цялата работа, но услугата след това отстранени – използва се само веднъж за изпълнение на командата и след това изчезва! Служител по сигурността на информацията, който наблюдава машината на жертвата, няма да може да открие очевидно Индикатори за атака: Няма стартиран злонамерен файл, не се инсталира постоянна услуга и няма доказателства за използване на RPC, тъй като SMB е единственото средство за пренос на данни. Брилянтно!

От страна на нападателя е налична „псевдообвивка“ със закъснения между изпращането на командата и получаването на отговора. Но това е напълно достатъчно за нападател - или вътрешен или външен хакер, който вече има опорна точка - да започне да търси интересно съдържание.

Използва се за извеждане на данни обратно от целевата машина към машината на атакуващия smbclient. Да, това е същата Samba полезност, но само преобразуван в Python скрипт от Impacket. Всъщност smbclient ви позволява скрито да хоствате FTP трансфери през SMB.

Нека направим крачка назад и помислим какво може да направи това за служителя. В моя измислен сценарий, да кажем, че на блогър, финансов анализатор или високоплатен консултант по сигурността е разрешено да използва личен лаптоп за работа. В резултат на някакъв магически процес тя се обижда на компанията и „се разваля“. В зависимост от операционната система на лаптопа, той или използва версията на Python от Impact, или версията на smbexec или smbclient за Windows като .exe файл.

Подобно на Сноудън, тя открива паролата на друг потребител или като погледне през рамо, или има късмет и се натъква на текстов файл с паролата. И с помощта на тези идентификационни данни тя започва да рови из системата на ново ниво на привилегии.

Хакване на DCC: Не се нуждаем от "глупав" Mimikatz

В предишните си публикации за pentesting използвах mimikatz много често. Това е страхотен инструмент за прихващане на идентификационни данни - NTLM хешове и дори пароли с чист текст, скрити в лаптопи, които просто чакат да бъдат използвани.
Времената се промениха. Инструментите за наблюдение станаха по-добри в откриването и блокирането на mimikatz. Администраторите по сигурността на информацията също така вече имат повече възможности за намаляване на рисковете, свързани с атаките за предаване на хеш (PtH).
И така, какво трябва да направи един интелигентен служител, за да събере допълнителни идентификационни данни, без да използва mimikatz?

Комплектът на Ipacket включва помощна програма, наречена secretsdump, който извлича идентификационни данни от кеша за идентификационни данни на домейна или накратко DCC. Разбирам, че ако потребител на домейн влезе в сървъра, но домейн контролерът е недостъпен, DCC позволява на сървъра да удостовери потребителя. Както и да е, secretsdump ви позволява да изхвърлите всички тези хешове, ако са налични.

DCC хешовете са не NTML хешове и тяхното не може да се използва за PtH атака.

Е, можете да опитате да ги хакнете, за да получите оригиналната парола. Microsoft обаче стана по-умна с DCC и хешовете на DCC станаха изключително трудни за кракване. Да, имам hashcat, „най-бързият инструмент за отгатване на пароли в света“, но изисква GPU, за да работи ефективно.

Вместо това нека се опитаме да мислим като Сноудън. Един служител може да проведе социално инженерство лице в лице и евентуално да открие някаква информация за лицето, чиято парола иска да разбие. Например разберете дали онлайн акаунтът на лицето някога е бил хакнат и прегледайте паролата му с ясен текст за някакви улики.

И това е сценарият, който реших да следвам. Да предположим, че вътрешен човек е научил, че неговият шеф, Круела, е бил хакнат няколко пъти на различни уеб ресурси. След като анализира няколко от тези пароли, той разбира, че Круела предпочита да използва формата на името на бейзболния отбор "Янки", последвано от текущата година - "Янки2015".

Ако сега се опитвате да възпроизведете това у дома, тогава можете да изтеглите малък "C" код, който прилага алгоритъма за хеширане на DCC, и го компилирайте. Джон Изкормвача, между другото, добави поддръжка за DCC, така че може да се използва. Да приемем, че вътрешен човек не иска да си прави труда да учи Джон Изкормвача и обича да изпълнява "gcc" на наследен C код.

Играейки ролята на вътрешен човек, опитах няколко различни комбинации и в крайна сметка успях да открия, че паролата на Cruella е „Yankees2019“ (вижте по-долу). Мисията е завършена!

Малко социално инженерство, малко гадаене и щипка Maltego и сте на път да разбиете DCC хеша.

Предлагам да приключим до тук. Ще се върнем към тази тема в други публикации и ще разгледаме още по-бавни и скрити методи за атака, като продължим да надграждаме върху отличния набор от помощни програми на Ipacket.

Източник: www.habr.com