פריצת סיסמא נסתרת עם Smbexec

אנו כותבים באופן קבוע על האופן שבו האקרים מסתמכים לעתים קרובות על ניצול שיטות פריצה ללא קוד זדוניכדי להימנע מגילוי. הם פשוטו כמשמעו "לשרוד על מרעה", תוך שימוש בכלי Windows סטנדרטיים, ובכך לעקוף אנטי-וירוסים וכלי עזר אחרים לזיהוי פעילות זדונית. אנו, כמגינים, נאלצים כעת להתמודד עם ההשלכות המצערות של טכניקות פריצה חכמות שכאלה: עובד במיקום טוב יכול להשתמש באותה גישה כדי לגנוב מידע סמוי (קניין רוחני של החברה, מספרי כרטיסי אשראי). ואם הוא לא ימהר, אלא יעבוד לאט ובשקט, זה יהיה קשה ביותר - אבל עדיין אפשרי אם ישתמש בגישה הנכונה והמתאימה כלי עבודה, - לזהות פעילות כזו.

מצד שני, לא הייתי רוצה לעשות דמוניזציה לעובדים כי אף אחד לא רוצה לעבוד בסביבה עסקית היישר מ-1984 של אורוול. למרבה המזל, ישנם מספר שלבים מעשיים ופריצות לחיים שיכולים לעשות את החיים הרבה יותר קשים למקורבים. נשקול שיטות תקיפה סמויות, המשמשים האקרים על ידי עובדים עם רקע טכני כלשהו. וקצת יותר נדון באפשרויות להפחתת סיכונים כאלה - נלמד אפשרויות טכניות וארגוניות כאחד.

מה רע ב-PsExec?

אדוארד סנודן, בצדק או שלא, הפך לשם נרדף לגניבת מידע פנימי. אגב, אל תשכח להציץ הערה זו על מקורבים אחרים שגם הם ראויים למעמד של תהילה. נקודה חשובה אחת שכדאי להדגיש לגבי השיטות שבהן השתמש סנודן היא שלמיטב ידיעתנו, הוא לא הותקן ללא תוכנה זדונית חיצונית!

במקום זאת, סנודן השתמש במעט הנדסה חברתית והשתמש בתפקידו כמנהל מערכת כדי לאסוף סיסמאות וליצור אישורים. שום דבר מסובך - שום דבר מימיקץ, התקפות איש באמצע או metasploit.

העובדים הארגוניים לא תמיד נמצאים בעמדה הייחודית של סנודן, אבל יש מספר לקחים שאפשר ללמוד מהמושג "הישרדות באמצעות רעייה" שצריך להיות מודעים אליו - לא לעסוק בשום פעילות זדונית שניתן לזהות, ולהיות במיוחד זהירות בשימוש באישורים. זכור את המחשבה הזו.

Psexec ובן דוד שלו crackmapexec הרשימו אינספור חודרנים, האקרים ובלוגרי אבטחת סייבר. ובשילוב עם mimikaz, psexec מאפשר לתוקפים לנוע בתוך רשת בלי צורך לדעת את סיסמת הטקסט הבהיר.

Mimikatz מיירט את ה-NTLM hash מתהליך LSASS ולאחר מכן מעביר את האסימון או האישורים - מה שנקרא. מתקפת "העביר את ה-hash". – ב-psexec, המאפשר לתוקף להיכנס לשרת אחר בשם אחר מִשׁתַמֵשׁ. ועם כל מעבר עוקב לשרת חדש, התוקף אוסף אישורים נוספים, ומרחיב את מגוון היכולות שלו בחיפוש אחר תוכן זמין.

כשהתחלתי לעבוד עם psexec, זה נראה לי קסום - תודה מארק רוסינוביץ', המפתח המבריק של psexec - אבל אני גם יודע על שלו רוֹעֵשׁ רכיבים. הוא אף פעם לא חשאי!

העובדה המעניינת הראשונה לגבי psexec היא שהוא משתמש מורכב ביותר פרוטוקול קבצי רשת SMB ממיקרוסופט. באמצעות SMB, העברות psexec קטנות בינארי קבצים למערכת היעד, והצבתם בתיקיית C:Windows.

לאחר מכן, psexec יוצר שירות Windows באמצעות הקובץ הבינארי המועתק ומפעיל אותו תחת השם ה"בלתי צפוי" במיוחד PSEXECSVC. יחד עם זאת, אתה באמת יכול לראות את כל זה, כמוני, על ידי צפייה במכונה מרוחקת (ראה להלן).

כרטיס הביקור של Psexec: שירות "PSEXECSVC". הוא מריץ קובץ בינארי שהוצב דרך SMB בתיקייה C:Windows.

כשלב אחרון, הקובץ הבינארי שהועתק נפתח חיבור RPC לשרת היעד ולאחר מכן מקבל פקודות שליטה (דרך מעטפת ה-cmd של Windows כברירת מחדל), מפעיל אותן ומפנה מחדש את הקלט והפלט למחשב הביתי של התוקף. במקרה זה, התוקף רואה את שורת הפקודה הבסיסית - זהה כאילו היה מחובר ישירות.

הרבה רכיבים ותהליך מאוד רועש!

החלקים הפנימיים המורכבים של psexec מסבירים את ההודעה שהפתיעה אותי במהלך המבחנים הראשונים שלי לפני מספר שנים: "Starting PSEXECSVC..." ואחריו הפסקה לפני הופעת שורת הפקודה.

Psexec של Impacket בעצם מראה מה קורה מתחת למכסה המנוע.

לא מפתיע: psexec עשה כמות עצומה של עבודה מתחת למכסה המנוע. אם אתה מעוניין בהסבר מפורט יותר, בדוק כאן אלה תיאור נפלא.

ברור, כאשר נעשה שימוש ככלי ניהול מערכת, אשר היה מטרה מקורית psexec, אין שום דבר רע ב"זמזום" של כל מנגנוני Windows הללו. עבור תוקף, לעומת זאת, psexec ייצור סיבוכים, ועבור מקורב זהיר וערמומי כמו Snowden, psexec או כלי עזר דומה יהיו סיכון גדול מדי.

ואז מגיע Smbexec

SMB היא דרך חכמה וסודית להעביר קבצים בין שרתים, והאקרים חודרים ישירות ל-SMB כבר מאות שנים. אני חושב שכולם כבר יודעים שזה לא שווה את זה להיפתח יציאות SMB 445 ו-139 לאינטרנט, נכון?

ב-Defcon 2013, אריק מילמן (brav0hax) הוצג smbexec, כדי שחודרנים יוכלו לנסות פריצת SMB חמקנית. אני לא מכיר את כל הסיפור, אבל אז Impacket שיכלל עוד יותר את smbexec. למעשה, לצורך הבדיקה שלי, הורדתי את הסקריפטים מ- Impacket ב- Python מ GitHub.

שלא כמו psexec, smbexec נמנע העברת קובץ בינארי שיכול להיות מזוהה למחשב היעד. במקום זאת, השירות חי כולו ממרעה ועד השקה מקומי שורת הפקודה של Windows.

זה מה שהוא עושה: הוא מעביר פקודה מהמכונה התוקפת דרך SMB לקובץ קלט מיוחד, ואז יוצר ומריץ שורת פקודה מורכבת (כמו שירות Windows) שתיראה מוכרת למשתמשי לינוקס. בקיצור: הוא משיק מעטפת cmd מקורית של Windows, מפנה את הפלט לקובץ אחר, ואז שולח אותו דרך SMB בחזרה למחשב של התוקף.

הדרך הטובה ביותר להבין זאת היא להסתכל על שורת הפקודה, שהצלחתי לשים עליה את ידי מיומן האירועים (ראה להלן).

האם זו לא הדרך הטובה ביותר להפנות I/O? אגב, ליצירת שירות יש זיהוי אירוע 7045.

כמו psexec, זה גם יוצר שירות שעושה את כל העבודה, אבל השירות אחרי זה הוסר - הוא משמש רק פעם אחת להפעלת הפקודה ואז נעלם! קצין אבטחת מידע העוקב אחר מכונה של נפגע לא יוכל לזהות ברור אינדיקטורים להתקפה: אין קובץ זדוני בהפעלה, לא מותקן שירות מתמשך ואין ראיות לשימוש ב-RPC מכיוון ש-SMB הוא האמצעי היחיד להעברת נתונים. מַברִיק!

מהצד של התוקף, "פסאודו-קליפה" זמינה עם עיכובים בין שליחת הפקודה לקבלת התגובה. אבל זה מספיק כדי שתוקף - או מבפנים או האקר חיצוני שכבר יש לו דריסת רגל - יתחיל לחפש תוכן מעניין.

כדי להוציא נתונים חזרה ממחשב היעד למחשב של התוקף, נעשה בו שימוש smbclient. כן, זה אותו סמבה השירות, אך הומר רק לסקריפט של Python על ידי Impacket. למעשה, smbclient מאפשר לך לארח באופן סמוי העברות FTP דרך SMB.

בואו ניקח צעד אחורה ונחשוב מה זה יכול לעשות עבור העובד. בתרחיש הפיקטיבי שלי, נניח שלבלוגר, אנליסט פיננסי או יועץ אבטחה בשכר גבוה מותר להשתמש במחשב נייד אישי לעבודה. כתוצאה מתהליך קסום כלשהו, ​​היא נעלבת מהחברה ו"מתקלקלת". בהתאם למערכת ההפעלה של המחשב הנייד, הוא משתמש בגרסת Python מ-Impact, או בגרסת Windows של smbexec או smbclient כקובץ .exe.

כמו סנודן, היא מגלה סיסמה של משתמש אחר או על ידי הסתכלות מעבר לכתפה, או שמתמזל מזלה ונתקלת בקובץ טקסט עם הסיסמה. ובעזרת האישורים הללו, היא מתחילה לחפור במערכת ברמה חדשה של הרשאות.

פריצת DCC: אנחנו לא צריכים שום מימיקץ "טיפש".

בפוסטים הקודמים שלי בנושא פנטסטי, השתמשתי במימיקץ לעתים קרובות מאוד. זהו כלי נהדר ליירוט אישורים - NTLM hashes ואפילו סיסמאות ברורות המוסתרות בתוך מחשבים ניידים, רק מחכים לשימוש.
הזמנים השתנו. כלי הניטור השתפרו באיתור וחסימת מימיקץ. למנהלי אבטחת מידע יש כעת יותר אפשרויות להפחית את הסיכונים הקשורים להעברת התקפות ה-Hash (PtH).
אז מה עובד חכם צריך לעשות כדי לאסוף אישורים נוספים מבלי להשתמש במימיקץ?

הערכה של Impacket כוללת כלי עזר בשם secretsdump, אשר שואב אישורים מ- Domain Credential Cache, או בקיצור DCC. הבנתי שאם משתמש תחום נכנס לשרת אך בקר התחום אינו זמין, DCC מאפשר לשרת לאמת את המשתמש. בכל מקרה, secretsdump מאפשר לך לזרוק את כל הגיבובים האלה אם הם זמינים.

גיבוב DCC הם לא גיבוב NTML שלהם לא ניתן להשתמש בהתקפת PtH.

ובכן, אתה יכול לנסות לפרוץ אותם כדי לקבל את הסיסמה המקורית. עם זאת, מיקרוסופט נעשתה חכמה יותר עם DCC ו-DCC hashes הפכו לקשים ביותר לפיצוח. כן יש לי hashcat, "מנחש סיסמאות המהיר ביותר בעולם", אבל זה דורש GPU כדי לפעול ביעילות.

במקום זאת, בואו ננסה לחשוב כמו סנודן. עובדת יכולה לבצע הנדסה חברתית פנים אל פנים ואולי לברר קצת מידע על האדם שאת הסיסמה שלו היא רוצה לפצח. לדוגמה, גלה אם החשבון המקוון של האדם נפרץ אי פעם ובדוק את הסיסמה הבהירה שלו לאיתור רמזים כלשהם.

וזה התרחיש שהחלטתי ללכת איתו. הבה נניח שמקורב נודע שהבוס שלו, קרואלה, נפרץ מספר פעמים במשאבי אינטרנט שונים. לאחר ניתוח כמה מהסיסמאות הללו, הוא מבין שקרואלה מעדיף להשתמש בפורמט של שם קבוצת הבייסבול "Yankees" ואחריו בשנה הנוכחית - "Yankees2015".

אם אתה עכשיו מנסה לשחזר את זה בבית, אז אתה יכול להוריד "C" קטן צופן, אשר מיישם את אלגוריתם הגיבוב של DCC, ומקמפל אותו. ג'ון המרטש, אגב, הוסיפה תמיכה ב-DCC, כך שניתן להשתמש בה גם. בואו נניח שמקורב לא רוצה לטרוח ללמוד את ג'ון המרטש ואוהב להפעיל "gcc" על קוד C מדור קודם.

מעמיד פנים על תפקיד של מקורב, ניסיתי כמה שילובים שונים ובסופו של דבר הצלחתי לגלות שהסיסמה של קרואלה היא "Yankees2019" (ראה להלן). משימה הושלמה!

קצת הנדסה חברתית, קורטוב של גילוי עתידות וקורט מלטגו ואתם בדרך לפצח את ה-Hash של DCC.

אני מציע שנסיים כאן. נחזור לנושא זה בפוסטים אחרים ונסתכל על שיטות התקפה איטיות וחמקניות עוד יותר, ונמשיך להתבסס על מערך הכלים המצוין של Impacket.

מקור: www.habr.com