Exchange-Schwachstelle: So entdecken Sie eine Erhöhung der Berechtigungen auf Domänenadministratorebene.

In diesem Jahr entdeckte eine Schwachstelle in Exchange ermöglicht es jedem Benutzer der Domäne, Administratorrechte für die Domäne zu erlangen und Active Directory (AD) sowie andere verbundene Hosts zu kompromittieren. Heute erklären wir, wie dieser Angriff funktioniert und wie man ihn erkennt.

So funktioniert dieser Angriff:

1. Der Angreifer erlangt Zugriff auf das Konto eines beliebigen Benutzers der Domäne mit aktivem Postfach, um sich für die Push-Benachrichtigungsfunktion von Exchange anzumelden.
2. Der Angreifer verwendet NTLM-Relay, um den Exchange-Server zu täuschen: letztendlich verbindet sich der Exchange-Server mit dem Computer des kompromittierten Benutzers über die Methode NTLM über HTTP, die der Angreifer dann verwendet, um die Authentifizierung beim Domänencontroller über LDAP mit den Exchange-Anmeldedaten durchzuführen.
3. Letztendlich nutzt der Angreifer diese Berechtigungen des Exchange-Kontos, um seine Privilegien zu erhöhen. Dieser letzte Schritt kann auch von einem feindlich konfigurierten Administrator durchgeführt werden, der bereits legitimen Zugang hat, um die erforderliche Berechtigungsänderung vorzunehmen. Wenn Sie eine Regel zur Erkennung dieser Aktivität erstellen, sind Sie vor diesem und ähnlichen Angriffen geschützt.

Anschließend kann der Angreifer beispielsweise DCSync ausführen, um die gehashten Passwörter aller Benutzer der Domäne zu erhalten. Dies ermöglicht es ihm, verschiedene Arten von Angriffen durchzuführen – von Goldticket-Angriffen bis zur Hash-Übertragung.

Das Forschungsteam von Varonis hat diesen Angriffsvektor eingehend untersucht und eine Anleitung für unsere Kunden erstellt, um ihn zu erkennen und gleichzeitig zu überprüfen, ob sie bereits kompromittiert wurden.

Erkennung von Privilegiensteigerungen in der Domäne

Im DatAlert Erstellen Sie eine benutzerdefinierte Regel zur Überwachung von Änderungen bestimmter Berechtigungen für Objekte. Sie wird ausgelöst, wenn Berechtigungen und Rechte für das betreffende Objekt in der Domäne hinzugefügt werden:

1. Geben Sie den Namen der Regel an
2. Setzen Sie die Kategorie auf „Privilegiensteigerung“
3. Legen Sie den Typ der Ressource auf „Alle Ressourcentypen“ fest
4. Dateiserver = DirectoryServices
5. Geben Sie die Domäne an, die Sie interessiert, zum Beispiel nach Namen
6. Fügen Sie einen Filter für das Hinzufügen von Berechtigungen am AD-Objekt hinzu
7. Und vergessen Sie nicht, die Option „Suche in untergeordneten Objekten“ deaktiviert zu lassen

Und jetzt der Bericht: Erkennung von Berechtigungsänderungen am Domänenobjekt.

Änderungen der Berechtigungen für AD-Objekte sind recht selten, daher sollte alles, was diese Warnung ausgelöst hat, untersucht werden. Es wäre auch ratsam, das Erscheinungsbild und den Inhalt des Berichts vor dem Einsatz der Regel zu testen.

Dieser Bericht zeigt auch, ob Sie bereits durch diesen Angriff kompromittiert wurden:

Nach der Aktivierung der Regel können alle anderen Ereignisse zur Erhöhung der Berechtigungen über die DatAlert-Weboberfläche untersucht werden:

Nach der Einrichtung dieser Regel können Sie diese und ähnliche Arten von Sicherheitsanfälligkeiten überwachen und sich dagegen schützen, Ereignisse mit AD-Datenbankobjekten untersuchen und überprüfen, ob Sie von dieser kritischen Sicherheitsanfälligkeit betroffen sind.

Quelle: habr.com