1. מבוא

חברות שלא היו להן מערכות גישה מרחוק פרסו אותן על בסיס חירום לפני מספר חודשים. לא כל המנהלים היו מוכנים ל"חום" שכזה, וכתוצאה מכך, האבטחה נפסקת: תצורה שגויה של שירותים או אפילו התקנה של גרסאות מיושנות של תוכנה עם נקודות תורפה שהתגלו בעבר. חלק מהמחדלים האלה כבר חזרו כמו בומרנג, אחרים היו ברי מזל, אבל כולם בהחלט צריכים להסיק מסקנות. הנאמנות לעבודה מרחוק גדלה, ויותר ויותר חברות מקבלים עבודה מרחוק כפורמט מקובל באופן שוטף.

לכן, ישנן אפשרויות רבות למתן גישה מרחוק: VPNs שונים, RDS ו-VNC, TeamViewer ואחרים. למנהלי מערכת יש הרבה מה לבחור, בהתבסס על הפרטים של בניית רשת ארגונית והתקנים בה. פתרונות VPN נותרו הפופולריים ביותר, עם זאת, חברות קטנות רבות בוחרות ב-RDS (שירותי שולחן עבודה מרוחק), הם קלים ומהירים יותר לפריסה.

במאמר זה נדבר יותר על אבטחת RDS. בואו נעשה סקירה קצרה של פגיעויות ידועות, ונשקול גם כמה תרחישים להפעלת מתקפה על תשתית רשת המבוססת על Active Directory. אנו מקווים שהמאמר שלנו יעזור למישהו לעבוד על באגים ולשפר את האבטחה.

2. פגיעויות RDS/RDP האחרונות

כל תוכנה מכילה באגים ופגיעויות שמנוצלות על ידי תוקפים, ו-RDS אינו יוצא דופן. לאחרונה, מיקרוסופט דיווחה לעתים קרובות על פגיעויות חדשות, החלטנו לעשות סקירה קצרה עליהן:

• CVE-2019-0787

פגיעות זו חושפת משתמשים המתחברים לשרת שנפרץ. תוקף יכול להשתלט על המכשיר של משתמש או להשיג דריסת רגל במערכת כדי לקבל גישה מרחוק קבועה.

• CVE-2019-1181 / CVE-2019-1182 / CVE-2020-0609

קבוצה זו של פגיעויות מאפשרת לתוקף לא מורשה לבצע מרחוק קוד שרירותי בשרת RDS באמצעות בקשה בעלת מבנה מיוחד. הם יכולים לשמש גם ליצירת תולעים - תוכנות זדוניות שמדביקות מכשירים בקרבת מקום ברשת בעצמה. כך, נקודות תורפה אלו עלולות לסכן את כל הרשת של החברה, ורק עדכון בזמן יחסוך אותן מהן.

תוכנת גישה מרחוק זכתה לתשומת לב מוגברת הן מצד חוקרים ותוקפים, כך שבקרוב אנו עשויים לשמוע על פגיעויות נוספות מסוג זה.

החדשות הטובות הן שלא לכל נקודות התורפה יש ניצול ציבורי זמין. הרע הוא שלא יהיה קשה לתוקף עם מומחיות לכתוב ניצול עבור פגיעות לפי התיאור, או להשתמש בטכניקות כמו Patch Diffing (עמיתינו כתבו על כך ב- статье). לכן, אנו ממליצים לעדכן את התוכנה באופן קבוע ולעקוב אחר הופעתן של הודעות חדשות על נקודות תורפה שהתגלו.

3. תקיפות

נעבור לחלק השני של המאמר, בו נראה כיצד מתחילות התקפות על תשתית הרשת המבוססת על Active Directory.

השיטות המתוארות חלות על מודל התוקף הבא: תוקף עם חשבון משתמש וגישה ל-Remote Desktop Gateway - שרת מסוף (לעיתים קרובות נגיש, למשל, מרשת חיצונית). באמצעות יישום שיטות אלו, התוקף יוכל להמשיך במתקפה על התשתית ולגבש את נוכחותו ברשת.

תצורת הרשת בכל מקרה עשויה להיות שונה, אך הטכניקות המתוארות הן אוניברסליות למדי.

דוגמאות ליציאה מסביבה מוגבלת והעלאת פריבילגיה

בעת גישה ל-Remote Desktop Gateway, סביר להניח שתוקף יתקל בסביבה מוגבלת כלשהי. בחיבור לשרת מסוף מופעלת בו אפליקציה: חלון לחיבור באמצעות פרוטוקול Remote Desktop למשאבים פנימיים, Explorer, חבילות אופיס או כל תוכנה אחרת.

המטרה של התוקף תהיה להשיג גישה לביצוע פקודות, כלומר להפעיל cmd או powershell. כמה טכניקות בריחה קלאסיות לארגז חול של Windows יכולות לעזור בכך. בואו נשקול אותם עוד יותר.

אפשרות 1. לתוקף יש גישה לחלון החיבור לשולחן עבודה מרוחק בתוך שער שולחן העבודה המרוחק:

התפריט "הצג אפשרויות" נפתח. אפשרויות לתפעול קבצי תצורת חיבור מופיעות:

מחלון זה ניתן לגשת חופשי לסייר על ידי לחיצה על כל אחד מהלחצנים "פתח" או "שמור":

סייר נפתח. "סרגל הכתובות" שלו נותן לך את היכולת להפעיל קבצי הפעלה מותרים, כמו גם פירוט של מערכת הקבצים. זה יכול להיות שימושי עבור תוקף כאשר כונני מערכת מוסתרים ולא ניתן לגשת אליהם ישירות:

→ סרטון הדגמה

ניתן לשחזר תרחיש דומה, למשל, בעת שימוש ב-Excel כתוכנה מרוחקת מחבילת Microsoft Office.

→ סרטון הדגמה

בנוסף, אל תשכח את פקודות המאקרו המשמשות בחבילה משרדית זו. עמיתינו התייחסו לנושא אבטחת המאקרו בכך статье.

אפשרות 2. באמצעות אותם כניסות כמו בגרסה הקודמת, התוקף משיק מספר חיבורי שולחן עבודה מרוחק תחת אותו חשבון. בעת חיבור מחדש, הראשון ייסגר, וחלון התראת שגיאה יופיע על המסך. כפתור העזרה בחלון זה יקרא לאינטרנט אקספלורר בשרת, ולאחר מכן התוקף יוכל לעבור לאקספלורר.

→ סרטון הדגמה

אפשרות 3. עם הגבלות מוגדרות על השקת קבצי הפעלה, תוקף עלול להיתקל במצב שבו מדיניות קבוצתית אוסרת על מנהל המערכת להפעיל את cmd.exe.

יש דרך לעקוף את זה על ידי הפעלת קובץ bat על שולחן עבודה מרוחק עם תוכן כמו cmd.exe /K <command>. שגיאה בעת הפעלת cmd ודוגמה מוצלחת לביצוע קובץ bat מוצגת באיור למטה.

אפשרות 4. איסור הפעלת יישומים באמצעות רשימות שחורות בשם קבצי הפעלה אינו תרופת פלא, ניתן לעקוף אותם.

שקול את התרחיש הבא: מנעו גישה לשורת הפקודה, מנענו את ההשקה של Internet Explorer ו-PowerShell באמצעות מדיניות קבוצתית. התוקף מנסה להזעיק עזרה - אין תגובה. ניסיונות להפעיל Powershell דרך תפריט ההקשר של חלון מודאלי, שנקרא עם מקש Shift לחוץ - הודעה על איסור ההשקה על ידי המנהל. מנסה להפעיל powershell דרך שורת הכתובת - שוב אין תגובה. איך לעקוף את ההגבלה?

מספיק להעתיק את powershell.exe מהתיקייה C:WindowsSystem32WindowsPowerShellv1.0 לתיקיית המשתמש, לשנות את השם למשהו אחר מאשר powershell.exe, וההשקה תופיע.

כברירת מחדל, בעת חיבור לשולחן עבודה מרוחק, ניתנת גישה לדיסקים המקומיים של הלקוח, משם התוקף יכול להעתיק את powershell.exe ולהפעיל אותו לאחר שינוי השם.

→ סרטון הדגמה

נתנו רק כמה דרכים לעקוף את ההגבלות, יש הרבה יותר תרחישים, אבל כולם מאוחדים על ידי גישה לסייר Windows. ישנם יישומים רבים המשתמשים בכלי המניפולציה הסטנדרטיים של Windows, וכאשר הם ממוקמים בסביבה מוגבלת, ניתן ליישם טכניקות דומות.

4. המלצות ומסקנה

כפי שאנו יכולים לראות, גם בסביבה מוגבלת יש מקום להתפתחות של התקפה. עם זאת, אפשר לסבך את חיי התוקף. אנו נותנים המלצות כלליות שיהיו שימושיות הן באפשרויות שחשבנו והן במקרים אחרים.

• הגבל את ההשקה של תוכניות לפי רשימות שחורות/לבנות באמצעות מדיניות קבוצתית.
  עם זאת, ברוב המקרים, עדיין ניתן להפעיל את הקוד. אנו ממליצים להכיר את הפרויקט LOLBASכדי לקבל מושג על הדרכים הלא מתועדות לתפעול קבצים וביצוע קוד במערכת.
  אנו ממליצים לשלב את שני סוגי ההגבלות: לדוגמה, ניתן לאפשר השקת קבצי הפעלה חתומים על ידי Microsoft, אך להגביל את ההשקה של cmd.exe.
• השבת את כרטיסיות ההגדרות של Internet Explorer (ניתן לעשות זאת באופן מקומי ברישום).
• השבת את העזרה המובנית של Windows באמצעות regedit.
• השבת את היכולת לטעון כוננים מקומיים עבור חיבורים מרוחקים אם הגבלה כזו אינה קריטית עבור משתמשים.
• הגבל גישה לכוננים מקומיים של המחשב המרוחק, השאר גישה רק לתיקיות משתמש.

אנו מקווים שלפחות התעניינתם, ולמקסימום, מאמר זה יעזור להפוך את העבודה מרחוק של החברה שלכם לבטוחה יותר.

מקור: www.habr.com