Smbexec를 이용한 숨겨진 비밀번호 해킹

우리는 해커가 종종 악용에 의존하는 방법에 대해 정기적으로 글을 씁니다. 악성코드 없는 해킹 방법탐지를 피하기 위해. 그들은 말 그대로 "목장에서 살아남기", 표준 Windows 도구를 사용하여 악성 활동을 탐지하기 위한 바이러스 백신 및 기타 유틸리티를 우회합니다. 방어자로서 우리는 이제 그러한 영리한 해킹 기술의 불행한 결과를 처리해야 합니다. 좋은 위치에 있는 직원은 동일한 접근 방식을 사용하여 은밀하게 데이터(회사 지적 재산, 신용 카드 번호)를 훔칠 수 있습니다. 서두르지 않고 천천히 조용하게 작업한다면 매우 어려울 것입니다. 그러나 올바른 접근 방식과 적절한 방법을 사용하면 여전히 가능합니다. 도구, — 그러한 활동을 식별합니다.

반면에 Orwell의 1984에서 곧바로 비즈니스 환경에서 일하고 싶어하는 사람은 아무도 없기 때문에 직원을 악마화하고 싶지 않습니다. 다행스럽게도 내부자의 삶을 훨씬 더 어렵게 만들 수 있는 실용적인 단계와 생활 꿀팁이 많이 있습니다. 우리는 고려할 것이다 은밀한 공격 방법, 기술적 배경을 가진 직원이 해커에 의해 사용됩니다. 그리고 조금 더 나아가 이러한 위험을 줄이기 위한 옵션에 대해 논의할 것입니다. 기술적 옵션과 조직적 옵션을 모두 연구할 것입니다.

PsExec에 무슨 문제가 있나요?

옳든 그르든 에드워드 스노든은 내부자 데이터 절도의 대명사가 되었습니다. 그건 그렇고, 꼭 살펴 보는 것을 잊지 마세요 이 메모 명성을 얻을 자격이 있는 다른 내부자에 대해서도요. Snowden이 사용한 방법에 대해 강조할 가치가 있는 한 가지 중요한 점은 우리가 아는 한, 그는 설치하지 않았습니다 외부 악성 소프트웨어는 없습니다!

대신 Snowden은 약간의 사회 공학을 사용하고 시스템 관리자로서의 지위를 활용하여 비밀번호를 수집하고 자격 증명을 만들었습니다. 복잡한 것은 없습니다 - 없음 미미 카츠, 공격 중간자 또는 메타 스플로 잇.

조직의 직원이 항상 Snowden의 독특한 위치에 있는 것은 아니지만 "방목을 통한 생존"이라는 개념에서 알아두어야 할 많은 교훈이 있습니다. 즉, 감지될 수 있는 악의적인 활동에 가담하지 말고 특히 자격 증명 사용에 주의하세요. 이 생각을 기억하십시오.

프섹섹 그리고 그의 사촌 crackmapexec 수많은 침투 테스터, 해커, 사이버 보안 블로거에게 깊은 인상을 남겼습니다. 그리고 psexec을 mimikatz와 결합하면 공격자가 일반 텍스트 암호를 알 필요 없이 네트워크 내에서 이동할 수 있습니다.

Mimikatz는 LSASS 프로세스에서 NTLM 해시를 가로채고 소위 말하는 토큰 또는 자격 증명을 전달합니다. "해시 전달" 공격 – psexec에서는 공격자가 다른 서버에 로그인할 수 있도록 허용합니다. 기타 사용자. 그리고 이후에 새 서버로 이동할 때마다 공격자는 추가 자격 증명을 수집하여 사용 가능한 콘텐츠 검색 기능의 범위를 확장합니다.

처음 psexec 작업을 시작했을 때 그것은 나에게 마법처럼 느껴졌습니다. 감사합니다. 마크 러시노비치, psexec의 뛰어난 개발자 - 하지만 나는 또한 그에 대해 알고 있습니다. 시끄러운 구성 요소. 그는 결코 비밀스럽지 않습니다!

psexec에 대한 첫 번째 흥미로운 사실은 매우 복잡한 SMB 네트워크 파일 프로토콜 마이크로소프트에서. SMB를 사용하여 psexec는 작은 데이터를 전송합니다. 바이너리 파일을 대상 시스템에 복사하여 C:Windows 폴더에 넣습니다.

다음으로 psexec는 복사된 바이너리를 사용하여 Windows 서비스를 생성하고 이를 매우 "예상치 못한" 이름 PSEXECSVC로 실행합니다. 동시에, 내가 했던 것처럼 원격 시스템을 관찰하면 이 모든 것을 실제로 볼 수 있습니다(아래 참조).

Psexec의 전화 카드: "PSEXECSVC" 서비스. C:Windows 폴더에 SMB를 통해 배치된 바이너리 파일을 실행합니다.

마지막 단계로 복사된 바이너리 파일이 열립니다. RPC 연결 그런 다음 제어 명령을 받아(기본적으로 Windows cmd 셸을 통해) 실행하고 입력과 출력을 공격자의 홈 컴퓨터로 리디렉션합니다. 이 경우 공격자는 마치 직접 연결된 것과 동일한 기본 명령줄을 보게 됩니다.

많은 구성 요소와 매우 시끄러운 프로세스!

psexec의 복잡한 내부는 몇 년 전 첫 번째 테스트에서 나를 당황하게 했던 메시지를 설명합니다. "PSEXECSVC 시작 중..." 다음에 명령 프롬프트가 나타나기 전에 잠시 멈춥니다.

Impacket의 Psexec는 실제로 내부에서 무슨 일이 일어나고 있는지 보여줍니다.

놀랄 것도 없이 psexec는 내부적으로 엄청난 양의 작업을 수행했습니다. 좀 더 자세한 설명이 궁금하시다면 여기를 확인해보세요 이 훌륭한 설명.

분명히 시스템 관리 도구로 사용되었을 때, 원래 목적 psexec, 이러한 모든 Windows 메커니즘의 "윙윙거리는 소리"에는 아무런 문제가 없습니다. 그러나 공격자에게 psexec은 합병증을 유발할 수 있으며 Snowden과 같은 조심스럽고 교활한 내부자에게는 psexec 또는 유사한 유틸리티가 너무 큰 위험을 초래할 수 있습니다.

그리고 Smbexec이 나옵니다.

SMB는 서버 간에 파일을 전송하는 영리하고 비밀스러운 방법이며 해커는 수세기 동안 SMB에 직접 침투해 왔습니다. 그럴 가치가 없다는 걸 다들 이미 알고 계시리라 생각해요 열다 SMB 포트 445와 139를 인터넷에 연결하는 거 맞죠?

Defcon 2013에서 Eric Millman(brav0hax) 제시 smbec, 침투 테스터가 스텔스 SMB 해킹을 시도할 수 있도록 합니다. 전체 내용은 모르겠지만 Impacket은 smbexec를 더욱 개선했습니다. 실제로 테스트를 위해 Python의 Impacket에서 스크립트를 다운로드했습니다. 깃허브.

psexec와 달리 smbec은 피하다 잠재적으로 감지된 바이너리 파일을 대상 컴퓨터로 전송합니다. 대신, 유틸리티는 발사까지 목초지에서 전적으로 살아갑니다. 현지의 Windows 명령줄.

수행하는 작업은 다음과 같습니다. SMB를 통해 공격 시스템의 명령을 특수 입력 파일로 전달한 다음 Linux 사용자에게 친숙해 보이는 복잡한 명령줄(예: Windows 서비스)을 생성하고 실행합니다. 즉, 기본 Windows cmd 셸을 실행하고 출력을 다른 파일로 리디렉션한 다음 SMB를 통해 공격자의 컴퓨터로 다시 보냅니다.

이를 이해하는 가장 좋은 방법은 이벤트 로그(아래 참조)에서 확인할 수 있는 명령줄을 살펴보는 것입니다.

이것이 I/O를 리디렉션하는 가장 좋은 방법이 아닌가? 그런데 서비스 생성에는 이벤트 ID 7045가 있습니다.

psexec와 마찬가지로 모든 작업을 수행하는 서비스도 생성하지만 그 이후의 서비스는 삭제됨 – 명령을 실행하는 데 한 번만 사용된 후 사라집니다! 피해자의 컴퓨터를 감시하는 정보보안관은 탐지할 수 없다 분명한 공격 지표: 실행되는 악성 파일이 없고, 영구 서비스가 설치되고 있지 않으며, SMB가 유일한 데이터 전송 수단이므로 RPC가 사용된다는 증거도 없습니다. 멋진!

공격자 측에서는 명령 전송과 응답 수신 사이에 지연이 있는 "의사 셸"을 사용할 수 있습니다. 그러나 이것은 공격자가(이미 발판을 마련한 내부자 또는 외부 해커) 흥미로운 콘텐츠를 찾기 시작하기에 충분합니다.

대상 시스템에서 공격자의 시스템으로 데이터를 다시 출력하기 위해 사용됩니다. smb 클라이언트. 응, 똑같은 삼바야 유틸리티, 그러나 Impacket에 의해서만 Python 스크립트로 변환되었습니다. 실제로 smbclient를 사용하면 SMB를 통해 FTP 전송을 은밀하게 호스팅할 수 있습니다.

한발 물러서서 이것이 직원에게 무엇을 줄 수 있는지 생각해 봅시다. 가상의 시나리오에서는 블로거, 재무 분석가 또는 고액 연봉의 보안 컨설턴트가 개인 노트북을 업무에 사용할 수 있다고 가정해 보겠습니다. 어떤 마법 같은 과정의 결과로 그녀는 회사에 화를 내고 “완전히 나쁜 짓”을 합니다. 노트북 운영 체제에 따라 Impact의 Python 버전을 사용하거나 Windows 버전의 smbexec 또는 smbclient를 .exe 파일로 사용합니다.

Snowden과 마찬가지로 그녀도 어깨 너머로 다른 사용자의 비밀번호를 알아내거나 운이 좋아서 우연히 비밀번호가 포함된 텍스트 파일을 발견합니다. 그리고 이러한 자격 증명의 도움으로 그녀는 새로운 수준의 권한으로 시스템을 탐색하기 시작합니다.

DCC 해킹: "멍청한" Mimikatz는 필요하지 않습니다.

침투 테스트에 대한 이전 게시물에서는 mimikatz를 매우 자주 사용했습니다. 이는 자격 증명(NTLM 해시, 심지어 랩톱 내부에 숨겨져 사용되기를 기다리는 일반 텍스트 비밀번호)을 가로채는 훌륭한 도구입니다.
시대가 변했습니다. 모니터링 도구는 mimikatz를 탐지하고 차단하는 능력이 향상되었습니다. 또한 정보 보안 관리자는 이제 PtH(Pass the Hash) 공격과 관련된 위험을 줄일 수 있는 더 많은 옵션을 갖게 되었습니다.
그렇다면 똑똑한 직원이 mimikatz를 사용하지 않고 추가 자격 증명을 수집하려면 어떻게 해야 할까요?

Impacket 키트에는 다음과 같은 유틸리티가 포함되어 있습니다. 비밀 덤프, 도메인 자격 증명 캐시(줄여서 DCC)에서 자격 증명을 검색합니다. 내가 이해한 바에 따르면 도메인 사용자가 서버에 로그인했지만 도메인 컨트롤러를 사용할 수 없는 경우 DCC에서는 서버가 사용자를 인증하도록 허용합니다. 어쨌든, secretsdump를 사용하면 이러한 해시가 사용 가능한 경우 모두 덤프할 수 있습니다.

DCC 해시는 NTML 해시가 아님 과 PtH 공격에는 사용할 수 없습니다.

음, 원래 비밀번호를 얻기 위해 해킹을 시도할 수 있습니다. 그러나 Microsoft는 DCC를 통해 더욱 똑똑해졌으며 DCC 해시는 해독하기가 극도로 어려워졌습니다. 네, 있어요 해시 캣, "세계에서 가장 빠른 비밀번호 추측기"이지만 효과적으로 실행하려면 GPU가 필요합니다.

대신 스노든처럼 생각해보자. 직원은 대면 사회 공학을 수행하고 비밀번호를 해독하려는 사람에 대한 일부 정보를 알아낼 수도 있습니다. 예를 들어, 그 사람의 온라인 계정이 해킹된 적이 있는지 알아보고 단서를 찾기 위해 일반 텍스트 비밀번호를 조사하세요.

그리고 이것이 제가 결정한 시나리오입니다. 내부자가 자신의 상사인 Cruella가 여러 웹 리소스에서 여러 번 해킹당했다는 사실을 알게 되었다고 가정해 보겠습니다. 이러한 비밀번호 중 여러 개를 분석한 후 그는 Cruella가 야구팀 이름 "Yankees" 뒤에 올해 연도가 오는 "Yankees2015" 형식을 사용하는 것을 선호한다는 것을 깨달았습니다.

이제 이것을 집에서 재현하려는 경우 작은 "C"를 다운로드할 수 있습니다. 암호, DCC 해싱 알고리즘을 구현하고 이를 컴파일합니다. 존 더 리퍼그런데 DCC에 대한 지원이 추가되어 사용할 수도 있습니다. 내부자가 John the Ripper를 배우는 데 방해가 되지 않고 레거시 C 코드에서 "gcc"를 실행하는 것을 좋아한다고 가정해 보겠습니다.

내부자 역할을 가장하여 여러 가지 조합을 시도한 결과 Cruella의 비밀번호가 "Yankees2019"(아래 참조)라는 것을 발견할 수 있었습니다. 미션 완료!

약간의 사회 공학, 약간의 운세, Maltego 약간만 있으면 DCC 해시를 해독할 수 있습니다.

여기서 끝내는 것이 좋습니다. 우리는 다른 게시물에서 이 주제로 돌아가 더욱 느리고 은밀한 공격 방법을 살펴보고 Impacket의 뛰어난 유틸리티 세트를 계속해서 구축해 나갈 것입니다.

출처 : habr.com