1. Sissejuhatus

Ettevõtted, kellel ei olnud korraldatud kaugjuurdepääsusüsteeme, käivitasid need äärmuslikus korras paar kuud tagasi. Mitte kõik administraatorid ei olnud selliseks “kuumuseks” valmis, mille tulemusena tekkis turvalisuse puudujääke: teenuste vale konfigureerimine või isegi vanade, eelnevalt tuvastatud haavatavustega tarkvaraversioonide installimine. Mõned neist puudujääkidest on juba ööbikuna tagasi tulnud, teised said rohkem õnne, kuid järeldusi peaks tegema kindlasti kõik. Loyaliteet kaug töötamise suhtes on mitmekordselt kasvanud ja üha rohkem ettevõtteid aktsepteerib kaugjuhtimist püsiva vormina.

Nii et kaugjuurdepääsu tagamiseks on palju võimalusi: erinevad VPN-id, RDS ja VNC, TeamViewer ja teised. Administratoritel on valida, tuginedes ettevõtte võrgustiku ja seadmete spetsiifikale. Kõige populaarsemad jäävad VPN-lahendused, kuid paljud väikesed ettevõtted valivad RDS (Remote Desktop Services), kuna need on lihtsamad ja kiiremad rakendada.

Selles artiklis räägime põhjalikumalt RDS turvalisusest. Teeme lühiülevaate tuntud haavatavustest ning arutame mitu rünnaku stseeni, mis on suunatud Active Directory põhisele võrguinfrastruktuurile. Loodame, et meie artikkel aitab kellelgi esitada õigeid ettepanekuid ja suurendada turvalisust.

2. Hiljutised RDS/RDP haavatavused

Iga tarkvara sisaldab vigu ja haavatavusi, mida kätkeb pahausklikud, ja RDS ei ole erandiks. Viimasel ajal on Microsoft sageli teatanud uutest haavatavustest, oleme otsustanud neist teha lühiülevaate:

• CVE-2019-0787

See haavatavus ohustab kasutajaid, kes ühenduvad kompromiteeritud serveriga. Ründaja võib saada kontrolli kasutaja seadme üle või jääda süsteemi, et omada püsivat kaugjuurdepääsu.

• CVE-2019-1181 / CVE-2019-1182 / CVE-2020-0609

See haavatavuste rühm võimaldab volitamata ründajal kaugest sooritada vale moodustatud päringu abil käituda RDS serveris. Neid saab kasutada ka usside — pahatahtliku tarkvara, mis nakatab kõrvalasuvad seadmed võrgus iseseisvalt, loomiseks. Seega võivad need haavatavused ohustada kogu ettevõtte võrku, ja ainsaks päästeks on õigel ajal värskendamine.

Kaugjuurdepääsu tarkvara on saanud üha rohkem tähelepanu nii uurijate kui ka kurjategijate seas, seetõttu võime varsti kuulda uutest sarnastest haavatavustest.

Hea uudis on see, et mitte kõikidele haavatavustele ei ole avalikke eksploitte saadaval. Halb uudis on see, et eksperdiga kurjategijal ei tohiks olla raske haavatavuse eksploitimiseks kirjutada eksploit, olgu selleks siis kirjelduse põhjal või kasutades selliseid tehnikaid nagu Patch Diffing (millest meie kolleegid on kirjutanud artiklis). Seetõttu soovitame regulaarselt tarkvara uuendada ja jälgida uusi teatiseid avastatud haavatavuste kohta.

3. Rünnakud

Liigume artikli teise ossa, kus näitame, kuidas algavad rünnakud Active Directory põhistesse võrguinfrastruktuuridesse.

Kirjeldatud meetodid on rakendatavad järgmise ründaja mudeli jaoks: kurjategija, kes omab kasutajakontot ja juurdepääsu Remote Desktop Gateway'le - terminaliserverile (mida sageli saab näiteks välisest võrgust). Nende meetodite rakendamisel suudab kurjategija jätkata rünnakut infrastruktuurile ja kinnistada oma kohalolekut võrgus.

Võrgu konfiguratsioon erinevates juhtumites võib erineda, kuid kirjeldatud tehnikad on üsna universaalsed.

Näited piiratud keskkonnast väljumisest ja privileegide tõstmisest

Remote Desktop Gateway'le juurdepääsu korral seisab kurjategija tõenäoliselt silmitsi teatud piiratud keskkonnaga. Terminaliserverisse ühendudes käivitatakse rakendus: Remote Desktopi ühenduse aken sisevahenditele, failihaldur, bürootarkvara või mõni muu tarkvara.

Rünnaku eesmärk on saavutada juurdepääs käskude käitamisele, see tähendab cmd või powershelli käivitamisele. Sellele võivad kaasa aidata mitmed klassikalised Windowsi “liivakastist” põgenemise tehnikad. Vaadakem neid järgmises osas.

Variant 1. Kurjategijal on juurdepääs Remote Desktopi ühenduse aknasse Remote Desktop Gateway raames:

Avaneb menüü “Show Options”. Kuvatakse valikud ühenduse konfiguratsioonifailide manipuleerimiseks:

Selles aknas on võimalik probleemideta pääseda Failihaldurisse, vajutades mõnda nupule “Open” või “Save”:

Avatud File Explorer. Selle „aadressiriba” kaudu on võimalik käivitada lubatud täidetavaid faile ning ka failisüsteemi loendit. See võib olla ründajale kasulik juhul, kui süsteemsed kettad on varjatud ja neile otsene juurdepääs on võimatu:

→ Demovideo

Sarnast stsenaariumi on võimalik taastada näiteks Microsoft Office'i paketi Exceli kaugkasutamise ajal.

→ Demovideo

Lisaks ei tohi unustada ka makrosid, mida selles kontoripaketis kasutatakse. Meie kolleegid on arutanud makrode turbeprobleemi selles artiklis.

Option 2. Kasutades samu sisendandmeid nagu eelmisel juhul, käivitab ründaja mitu kaugliidest ühendust sama konto alla. Taaskäivitusel suletakse esimene ühendus ja ekraanile ilmub veateade. Selle akna abifunktsioon käivitab serveris Internet Exploreri, pärast mida suudab ründaja navigeerida File Explorerisse.

→ Demovideo

Variant 3. Kui täidetavate failide käivitamisele on seatud piirangud, võib ründaja sattuda olukorda, kus grupipoliitikad keelavad cmd.exe käivitamise administraatorina.

On olemas viis seda kõrvale hiilida, käivitades bat-faili kaugliidese kaudu sisu kujul cmd.exe /K . Cmd-i käivitamisel esinev tõrge ja bat-faili eduka täitmise näide on toodud alloleval joonisel.

Variant 4. Rakenduste käivitamise keeldude kehtestamine täidetavate failide nimede põhjal ei ole panacea, neid saab kõrvale hiilida.

Käsitleme järgmist stsenaariumi: oleme keelanud juurdepääsu käsureale, keelanud Internet Exploreri ja PowerShelli käivitamise grupipoliitikate abil. Ründaja üritab kutsuda abi – pole mingit tagasisidet. Üritab käivitada PowerShelli kontekstimenüü kaudu, mis kutsutakse esile allhoidmisega – teade, et käivitamine on blokeeritud administraatori poolt. Üritab käivitada PowerShelli aadressiriba kaudu – taas pole mingit tagasisidet. Kuidas piirangut kõrvaldada?

Piisab, kui kopeerida powershell.exe kaustast C:WindowsSystem32WindowsPowerShellv1.0 kasutaja kausta, muuta nimi erinevaks kui powershell.exe ja käivitamise võimalus avaneb.

Vaikimisi, kui ühendate kaugliidese kaudu, antakse juurdepääs kliendi lokaalsetele ketastele, kust ründaja saab kopeerida powershell.exe ja pärast ümbernimetamist käivitada.

→ Demovideo

Oleme esitanud vaid mõned viisi piirangute ületamiseks; tulevikus võib ülesanne tulla veel palju, kuid neid ühendab kõikide jaoks pääs Windowsi File Explorerisse. Rakendusi, mis kasutavad Windowsi standardseid viise failide töötlemiseks, on palju, ja kui viia need piiratud keskkonda, saab rakendada sarnaseid tehnikaid.

4. Soovitused ja järeldus

Nagu näeme, on isegi piiratud keskkonnas rünnaku jaoks arenguruumi. Kuid ründaja elu võib raskendada. Toome välja üldised soovitused, mis on kasulikud nagu meie käsitletud variantides, nii ka muudel juhtudel.

• Piirake programmide käivitamist mustade / valgete loenditega, kasutades grupipoliitikaid.
  Kuid enamikul juhtudel jääb võimalus koodi käivitamiseks alles. Soovitame tutvuda projektiga LOLBAS, et saada ülevaade dokumenteerimata viisidest failide manipuleerimiseks ja koodi käitamiseks süsteemis.
  Soovitame kombineerida mõlemat tüüpi piiranguid: näiteks võite lubada Microsofti poolt allkirjastatud täidetavate failide käivitamise, kuid piirata cmd.exe käivitamist.
• Keelake Internet Explorer'i seadete vahekaartide aktiveerimine (seda saab teha kohapeal registris).
• Keelake Windowsi sisseehitatud abifunktsiooni käivitamine regedit'i kaudu.
• Keelake kohalike ketaste mountimine kaugühenduste jaoks, kui see piirang ei ole kasutajatele kriitiline.
• Piirake juurdepääsu kaugmasina lokaalsetele ketastele, jättes juurdepääsu ainult kasutaja kaustadele.

Loodame, et see oli teile vähemalt huvitav ja maksimaalselt — see artikkel aitab teie ettevõtte kaugtegevust turvalisemaks muuta.

Allikas: habr.com