Tagebuch von Tom Hunter: „Der Hund der Baskervilles“

Es ist nicht ungewöhnlich, dass die Unterzeichnung sich bei großen Unternehmen hinzieht. Der Vertrag zwischen Tom Hunter und einem Netzwerk-Online-Tiergeschäft über ein umfassendes Pen-Testing machte da keine Ausnahme. Es galt sowohl die Website als auch das interne Netzwerk und sogar das Arbeits-Wi-Fi zu überprüfen.

Es ist wenig überraschend, dass es Tom in den Fingern kribbelte, noch bevor alle Formalitäten geklärt waren. Nur schnell die Website scannen, schließlich wird ein so bekanntes Geschäft wie 'Hund der Baskervilles' sicher keine Fehler hier machen. Nach ein paar Tagen erhielt Tom schließlich das unterschriebene Original des Vertrags – zu diesem Zeitpunkt bewertete er bei der dritten Tasse Kaffee mit Interesse den Zustand der Lagerbestände aus dem internen CMS.

Quelle: Ehsan Taebloo

Doch besonders in der CMS konnte Tom nicht viel anstellen – die IP von Tom Hunter wurde von den Administratoren der Website gesperrt. Obwohl er es geschafft hätte, um einige Boni auf die Karte des Geschäfts zu generieren und lange Monate seinen geliebten Kater günstig zu füttern ... 'Nicht diesmal, Darth Sidious', dachte Tom mit einem Lächeln. Es wäre nicht weniger spannend gewesen, aus dem Bereich der Website in das lokale Netzwerk des Auftraggebers zu gelangen, aber anscheinend sind diese Segmente beim Kunden nicht miteinander verbunden. In sehr großen Unternehmen kommt das schließlich häufig vor.

Nach allen Formalitäten rüstete sich Tom Hunter mit dem bereitgestellten VPN-Konto und ging ins lokale Netzwerk des Auftraggebers. Das Konto befand sich innerhalb der Active Directory-Domäne, sodass er ohne viel Aufwand ein AD-Dump erstellen konnte – all die öffentlichen Informationen über Benutzer und Arbeitsstationen auslesen.

Tom startete das Tool adfind und begann, LDAP-Anfragen an den Domänencontroller zu senden. Mit einem Filter nach dem Klassenattribut objectCategory, wobei er person als Attribut angab. Die Antwort kam mit folgender Struktur zurück:

dn:CN=Gast,CN=Users,DC=domain,DC=local
>objectClass: top
>objectClass: person
>objectClass: organizationalPerson
>objectClass: user
>cn: Gast
>description: Eingebaute Konto für den Zugang von Gästen zu Computer oder Domäne
>distinguishedName: CN=Gast,CN=Users,DC=domain,DC=local
>instanceType: 4
>whenCreated: 20120228104456.0Z
>whenChanged: 20120228104456.0Z

Neben dem gab es viele nützliche Informationen, doch das Interessanteste lag im Feld >description: >description. Dies ist ein Kommentar zum Konto – im Grunde ein praktischer Ort, um unwichtige Notizen zu speichern. Doch die Administratoren des Clients hielten es für angebracht, auch Passwörter dort abzulegen. Wer könnte schließlich an all diesen unwichtigen Dienstkonten interessiert sein? Daher hatten die Kommentare, die Tom erhielt, folgenden Inhalt:

Erstellt von Administrator, 2018.11.16 7po!*Vqn

Man muss kein Genie sein, um zu verstehen, wofür die Kombination am Ende nützlich sein könnte. Es blieb nur noch, die große Antwortdatei vom KD nach dem Feld >description: zu parsen, und voilà – da waren sie: 20 Login-Passwort-Paare. Fast die Hälfte hatte RDP-Zugriffsrechte. Ein guter Ausgangspunkt, Zeit, die angreifenden Kräfte zu teilen.

Netzwerkumgebung

Die verfügbaren Shares "Die Hunde von Baskerville" erinnerten an eine große Stadt in all ihrem Chaos und ihrer Unvorhersehbarkeit. Mit den Profilen user und RDP war Tom Hunter in dieser Stadt ein armer Junge, doch sogar er hatte durch die glitzernden Schaufenster der Sicherheitsrichtlinien schon viel gesehen.

Teile von Dateien-Servern, Buchhaltungsunterlagen und sogar die zugehörigen Skripte – all das war öffentlich zugänglich gemacht worden. In den Einstellungen eines solcher Skripte fand Tom einen MS SQL-Hash eines Benutzers. Ein wenig Brute-Force-Magie – und der Benutzer-Hash verwandelte sich in ein Klartext-Passwort. Danke an John The Ripper und Hashcat.

Dieser Schlüssel musste zu irgendeiner Truhe passen. Die Truhe wurde gefunden, und darüber hinaus war sie mit weiteren zehn „Truhen“ verbunden. Und in sechs lagen… Superuser-Rechte, nt authority.SYSTEM! Bei zwei konnte die gespeicherte Prozedur xp_cmdshell gestartet und cmd-Befehle an Windows gesendet werden. Was könnte man sich mehr wünschen?

Domänencontroller

Den zweiten Schlag bereitete Tom Hunter für die Domänencontroller vor. Im Netzwerk der „Hunde von Baskerville“ gab es drei – entsprechend der Anzahl der geografisch entfernten Server. Jeder Domänencontroller hat einen öffentlichen Ordner, wie ein offenes Schaufenster im Geschäft, vor dem der gleiche arme Junge Tom herumlungert.

Und diesmal hatte der Junge wieder Glück – im Schaufenster wurde ein Skript vergessen, in dem das Passwort des lokalen Serveradministrators hardcodiert war. Somit war der Weg zum Domänencontroller offen. Komm rein, Tom!

Hier wurde aus dem magischen Hut herausgezogen , Angriffe, der von mehreren Domain-Administratoren profitiert hat. Tom Hunter hatte Zugang zu allen Maschinen im lokalen Netzwerk, und das teuflische Gelächter verscheuchte die Katze von dem benachbarten Sessel. Dieser Weg war kürzer als erwartet.

EternalBlue

Die Erinnerung an WannaCry und Petya lebt noch in den Köpfen der Pentester, aber einige Administratoren scheinen die Ransomware inmitten anderer Abendnachrichten vergessen zu haben. Tom entdeckte drei Knoten mit einer Schwachstelle im SMB-Protokoll – CVE-2017-0144 oder EternalBlue. Dies ist jene Schwachstelle, über die sich die Ransomware WannaCry und Petya verbreitete, eine Schwachstelle, die es ermöglicht, beliebigen Code auf dem Knoten auszuführen. An einem der anfälligen Knoten gab es eine Session eines Domain-Admins – „ausnutzen und gewinnen“. Nun ja, die Erfahrung hat nicht alle gelehrt.

"Der Hund von Baskerville"

Die Klassiker der Informationssicherheit wiederholen gerne, dass der menschliche Faktor das schwächste Glied jeder System ist. Ist Ihnen aufgefallen, dass die Überschrift oben nicht mit dem Namen des Geschäfts übereinstimmt? Vielleicht sind nicht alle so aufmerksam.

In bester Tradition von Phishing-Blockbustern registrierte Tom Hunter eine Domain, die sich nur um einen Buchstaben von der Domain "Hund von Baskerville" unterscheidet. Die E-Mail-Adresse dieser Domain imitierte die Adresse des Sicherheitsdienstes des Geschäfts. Über einen Zeitraum von 4 Tagen, jeweils zwischen 16:00 und 17:00 Uhr, wurden gleichmäßig an 360 Adressen von einer gefälschten Adresse solche Briefe verschickt:

Nur die eigene Faulheit der Mitarbeiter hat wohl einen massiven Passwortdiebstahl verhindert. Von 360 E-Mails wurden nur 61 geöffnet – die Sicherheitsabteilung erfreut sich nicht großer Beliebtheit. Aber danach wurde es einfacher.

Phishing-Seite

46 Personen klickten auf den Link, und fast die Hälfte – 21 Mitarbeiter – schauten nicht in die Adresszeile und gaben beruhigt ihre Nutzernamen und Passwörter ein. Ein guter Fang, Tom.

Wi-Fi-Netzwerk

Nun konnte man nicht mehr auf die Hilfe der Katze zählen. Tom Hunter packte einige Geräte in seinen alten Sedan und machte sich auf den Weg zum Büro des "Hundes von Baskerville". Sein Besuch war nicht abgesprochen: Tom wollte das Wi-Fi des Kunden testen. Auf dem Parkplatz des Geschäftsgebäudes gab es einige freie Plätze, die günstig im Perimeter des Zielnetzwerks lagen. Über die Einschränkung schien man sich anscheinend nicht besonders Gedanken gemacht zu haben – als ob die Administratoren wahllos zusätzliche Punkte als Antwort auf jede Beschwerde über schwaches Wi-Fi gesetzt hätten.

Wie funktioniert der WPA/WPA2 PSK-Schutz? Die Verschlüsselung zwischen dem Zugangspunkt und den Clients erfolgt über den Pre-Session Key – den Pairwise Transient Key (PTK). Der PTK verwendet den Pre-Shared Key und fünf weitere Parameter – SSID, Authenticator Nounce (ANounce), Supplicant Nounce (SNounce), die MAC-Adressen des Zugangspunkts und des Clients. Tom hat alle fünf Parameter abgefangen, und es fehlte nur noch der Pre-Shared Key.

Das Hashcat-Tool hat dieses fehlende Glied in etwa 50 Minuten geknackt – und unser Held fand sich im Gäste-Netzwerk wieder. Von dort konnte er bereits das Arbeitsnetzwerk sehen – merkwürdigerweise hat Tom das Passwort in etwa neun Minuten gelöst. Und das alles, ohne den Parkplatz zu verlassen, ohne VPN. Das Arbeitsnetzwerk bot unserem Helden Möglichkeiten für monströse Aktivitäten, aber er... hat dennoch keine Bonuspunkte auf die Kundenkarte geladen.

Tom hielt inne, sah auf die Uhr, ließ ein paar Scheine auf den Tisch fallen und verabschiedete sich, als er das Café verließ. Vielleicht wieder ein Pentest, oder vielleicht etwas anderes. Telegram-Kanal hat er sich überlegt zu schreiben…


Quelle: habr.com