{"id":91574,"date":"2020-08-14T19:42:27","date_gmt":"2020-08-14T17:42:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/skrytyj-vzlom-parolej-s-pomoshhyu-smbexec"},"modified":"2020-08-14T19:42:27","modified_gmt":"2020-08-14T17:42:27","slug":"skrytyj-vzlom-parolej-s-pomoshhyu-smbexec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/skrytyj-vzlom-parolej-s-pomoshhyu-smbexec","title":{"rendered":"Verborgen wachtwoordkraken met behulp van Smbexec.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Verborgen
\n
\nWe regularly write about how hackers often rely on the use of hacking methods without malicious code<\/a><\/noindex>, to avoid detection. They literally \"survive on scraps\"<\/a><\/noindex>, using standard Windows tools, thereby bypassing antivirus software and other malware detection utilities. We, as defenders, are now forced to deal with the sad consequences of such cunning hacking techniques: a well-positioned employee can use the same approach for covert data theft (company intellectual property, credit card numbers). And if they don't rush and work slowly and inconspicuously, it will be extremely difficult\u2014but still possible\u2014if the right approach and appropriate tools<\/a><\/noindex>, are applied to detect such activity.<\/p>\n

On the other hand, I wouldn't want to demonize employees, as no one wants to work in a business environment straight out of Orwell's \"1984.\" Fortunately, there are several practical steps and hacks that can greatly complicate life for insiders. We will examine covert attack methods<\/strong>, used by hackers among employees with some technical background. Later, we will discuss options for reducing such risks\u2014exploring both technical and organizational courses of action.
\n<\/a><\/noindex><\/p>\n

What's wrong with PsExec?<\/h2>\n

\nEdward Snowden, fairly or not, has become synonymous with insider data theft. By the way, don't forget to take a look at this note <\/a><\/noindex>about other insiders, also worthy of some notoriety. It's worth emphasizing one important point about the methods used by Snowden\u2014 as far as we know, he did not install <\/em>any external malicious software!<\/p>\n

On the contrary, Snowden applied a bit of social engineering and leveraged his position as a system administrator to collect passwords and create credentials. Nothing complicated\u2014no mimikatz<\/a><\/noindex>, attacks man-in-the-middle <\/a><\/noindex>of metasploit<\/a><\/noindex>. <\/p>\n

Employees of organizations are not always in the unique position of Snowden, but from the concept of \"surviving on scraps,\" several lessons can be learned that are important to know\u2014do not engage in any malicious actions that can be detected, and be especially careful when using credentials. Keep this thought in mind.<\/p>\n

Psexec<\/a><\/noindex> en zijn neef crackmapexec <\/a><\/noindex>bewogen ontelbare pentesters, hackers en bloggers op het gebied van informatiebeveiliging. In combinatie met mimikatz stelt psexec aanvallers in staat om binnen het netwerk te bewegen zonder dat ze het wachtwoord in platte tekst hoeven te kennen. <\/p>\n

Mimikatz onderschept de NTLM-hash van het LSASS-proces en geeft dan het token of de inloggegevens door \u2013 de zogeheten \u00abpass the hash\u00bb aanval<\/strong> \u2013 naar psexec, waardoor de aanvaller op een andere server kan inloggen als een andere <\/em>gebruiker. En met elke volgende beweging naar een nieuwe server verzamelt de aanvaller aanvullende inloggegevens en breidt hij zijn mogelijkheden uit in de zoektocht naar beschikbare content.<\/p>\n

Toen ik voor het eerst met psexec werkte, leek het me gewoon magisch \u2013 dank aan Mark Russinovich<\/a><\/noindex>, de geniale ontwikkelaar van psexec, \u2013 maar ik weet ook van zijn luidruchtige <\/em>componenten. Het is absoluut niet discreet! <\/p>\n

Het eerste interessante feit over psexec is dat het een uiterst ingewikkeld netwerkbestandprotocol SMB <\/strong>van Microsoft gebruikt. Via SMB verzendt psexec kleine binaire <\/em>bestanden naar het doelsysteem, waarbij ze in de C:Windows-map worden geplaatst.<\/p>\n

Daarna cre\u00ebert psexec een Windows-service met de gekopieerde binaire en start deze onder een extreem \u00abonverwacht\u00bb naam PSEXECSVC. Dit kun je daadwerkelijk zien, net als ik, door naar de externe machine te kijken (zie hieronder).<\/p>\n

\"Verborgen<\/p>\n

Visitekaartje van Psexec: de service \u00abPSEXECSVC\u00bb. Deze start het binaire bestand dat via SMB naar de C:Windows-map is geplaatst.<\/em><\/p>\n

\nIn de laatste fase opent het gekopieerde binaire bestand een RPC-verbinding<\/em> met de doelserver en ontvangt vervolgens beheerscommando's (standaard \u2013 via de cmd-shell van Windows), voert deze uit en geeft invoer en uitvoer door naar de thuismachine van de aanvaller. De aanvaller ziet een basisopdrachtregel \u2013 precies zoals als hij direct is verbonden. <\/p>\n

Talrijke componenten en een zeer luidruchtig proces!<\/p>\n

Het ingewikkelde mechanisme van interne processen van psexec verklaart het bericht dat me destijds verwarde tijdens mijn eerste testen enkele jaren geleden: \u00abStarting PSEXECSVC ...\u00bb en de daaropvolgende pauze voordat de opdrachtregel verschijnt. <\/p>\n

\"Verborgen<\/p>\n

Psexec van Impacket laat in feite zien wat er \u00abonder de motorkap\u00bb gebeurt.<\/em><\/p>\n

\nHet is niet verrassend: psexec heeft een enorme hoeveelheid werk 'onder de motorkap' gedaan. Als je meer gedetailleerde uitleg wilt, bekijk dan deze <\/a><\/noindex>geweldige beschrijving.<\/p>\n

Het is duidelijk dat het gebruik in systeemadministratie, wat de oorspronkelijke bedoeling was van psexec, geen probleem is met het 'zoemen' van al deze Windows-mechanismen. Voor een aanvaller zal psexec echter complicaties veroorzaken, en voor een voorzichtige en sluwe insider, zoals Snowden, zou psexec of een vergelijkbaar hulpmiddel te groot risico zijn. <\/em>En dan komt Smbexec op de proppen<\/p>\n

SMB is een vindingrijke en verborgen manier om bestanden tussen servers over te dragen, en hackers hebben al sinds mensenheugenis rechtstreeks in SMB ingebroken. Ik neem aan dat iedereen al weet dat je niet<\/h2>\n

\nde SMB-poorten 445 en 139 op het internet moet openen, toch? <\/a><\/noindex>In 2013 presenteerde Eric Millman (<\/p>\n

brav0hax) smbexec op de Defcon, zodat pentesters de verborgen inbreuk op SMB konden testen. Ik weet de volledige geschiedenis niet, maar Impacket heeft smbexec vervolgens verder verfijnd. Voor mijn tests heb ik eigenlijk de scripts van Impacket in Python gedownload van<\/a><\/noindex>In tegenstelling tot psexec, vermijdt smbexec<\/a><\/noindex>het Github<\/a><\/noindex>.<\/p>\n

overdragen van potentieel detecteerbare binaire bestanden naar de doelmachine. In plaats daarvan leeft het hulpmiddel volledig van 'afval' door een lokale <\/em>Windows-opdrachtprompt uit te voeren. Wat het doet: het verzendt een commando van de aanvallende machine via SMB naar een speciaal inkomend bestand, en cre\u00ebert vervolgens en voert een complexe opdrachtprompt uit (als een Windows-service), die bekend zal voorkomen voor Linux-gebruikers. Kortom: het draait de native Windows-shell cmd, leidt de uitvoer naar een ander bestand en verzendt het vervolgens via SMB terug naar de machine van de aanvaller.<\/em> De beste manier om dit te begrijpen, is door de opdrachtprompt te bestuderen die ik uit het logboek van gebeurtenissen heb kunnen krijgen (zie hieronder).<\/p>\n

Is dit niet de grootste manier om invoer\/uitvoer om te leiden? Trouwens, het maken van een service heeft gebeurtenis-ID 7045. <\/p>\n

Net als psexec cre\u00ebert het ook een service die al het werk doet, maar de service wordt daarna<\/p>\n

\"Verborgen<\/p>\n

verwijderd<\/em><\/p>\n

\n\u2013 deze wordt slechts \u00e9\u00e9n keer gebruikt om het commando uit te voeren en verdwijnt dan! Een medewerker van de beveiligingsdienst die het slachtoffer volgt, kan geen voor de hand liggende<\/em> signalen detecteren dat <\/em>aanvalsindicatoren: er is geen malafide uitvoerbaar bestand, er wordt geen permanente service ge\u00efnstalleerd en er is geen bewijs van het gebruik van RPC, aangezien SMB het enige middel is voor gegevensoverdracht. Geniaal!<\/p>\n

Aan de aanvallerszijde is er een 'pseudo-shell' beschikbaar met vertragingen tussen het verzenden van een commando en het ontvangen van een antwoord. Maar dit is voldoende voor de aanvaller - of het nu een insider is of een externe hacker die al een basis heeft - om te beginnen met het zoeken naar interessante inhoud.<\/p>\n

\"Verborgen
\n
\nVoor het terugsturen van gegevens van de doelmachine naar de machine van de aanvaller wordt gebruikt smbclient<\/a><\/noindex>. Ja, dit is hetzelfde Samba, tool<\/a><\/noindex>maar dan herschreven als een Python-script door Impacket. In feite stelt smbclient je in staat om FTP stealthy over SMB te organiseren.<\/p>\n

Laten we een stap terug doen en nadenken over wat dit kan betekenen voor de werknemer. In mijn hypothetische scenario, laten we zeggen dat een blogger, financieel analist of goedbetaalde beveiligingsconsultant is toegestaan om zijn persoonlijke laptop voor werk te gebruiken. Door een of andere magische proces voelt ze zich beledigd door het bedrijf en 'gaat ze over de schreef'. Afhankelijk van het besturingssysteem van de laptop gebruikt ze ofwel de Python-versie van Impact of de Windows-versie van smbexec of smbclient in de vorm van een .exe-bestand.<\/p>\n

Net als Snowden leert ze het wachtwoord van een andere gebruiker, ofwel door het af te kijken over de schouder, ofwel heeft ze geluk en komt ze een tekstbestand met het wachtwoord tegen. En met deze inloggegevens begint ze rond te neuzen in het systeem op een nieuw niveau van privileges. <\/p>\n

DCC-hacking: we hebben geen 'domme' Mimikatz nodig<\/h2>\n

\nIn mijn eerdere berichten over pentesting heb ik vaak gebruik gemaakt van mimikatz. Het is een geweldige tool voor het onderscheppen van inloggegevens - NTLM-hashes en zelfs wachtwoorden in platte tekst, verstopt in laptops en wachtend om gebruikt te worden.
\nTijden zijn veranderd. Monitoringtools zijn beter geworden in het detecteren en blokkeren van mimikatz. Informatiebeveiligingsbeheerders hebben ook meer opties om de risico's van 'pass the hash'-aanvallen (verder - PtH) te verminderen.
\nWat moet een slimme werknemer doen om extra inloggegevens te verzamelen zonder gebruik te maken van mimikatz?<\/p>\n

In de set van Impacket zit een hulpprogramma genaamd secretsdump<\/a><\/noindex>, die de referenties uit de Domain Credential Cache haalt, of kortweg DCC. Voor zover ik begrijp, als een domeingebruiker inlogt op de server maar de domeincontroller niet beschikbaar is, stelt DCC de server in staat om de gebruiker te authentiseren. Hoe dan ook, secretsdump stelt je in staat om al deze hashes te dumpen, als ze beschikbaar zijn.<\/p>\n

DCC-hashes zijn geen NTLM-hashes <\/em> en hun kunnen niet worden gebruikt voor PtH-aanvallen<\/em>.<\/p>\n

Je kunt proberen ze te kraken om het originele wachtwoord te verkrijgen. Microsoft is echter slimmer geworden in het omgaan met DCC, en het is uiterst moeilijk geworden om DCC-hashes te kraken. Ja, er is hashcat<\/a><\/noindex>, 's werelds snelste wachtwoordkraker', maar die vereist een GPU voor effectieve werking.<\/p>\n

Laten we in plaats daarvan proberen te denken als Snowden. Een medewerker kan face-to-face sociale engineering toepassen en mogelijk informatie over de persoon waarmee ze het wachtwoord willen kraken, te weten komen. Bijvoorbeeld, achterhalen of het online-account van die persoon ooit is gehackt en hun wachtwoord in het openbaar bekijken op zoek naar aanwijzingen. <\/p>\n

En dat is het scenario dat ik wil volgen. Laten we aannemen dat de insider heeft ontdekt dat zijn baas, Cruella, meerdere keren is gehackt op verschillende websites. Na het analyseren van enkele van deze wachtwoorden realiseert hij zich dat Cruella de voorkeur geeft aan het gebruiken van het naamformaat van het honkbalteam 'Yankees' gevolgd door het actuele jaar \u2013 'Yankees2015'.<\/p>\n

Als je dit nu thuis probeert na te spelen, kun je een klein programmaatje downloaden, 'C' code<\/a><\/noindex>, dat het DCC-hashingalgoritme implementeert en dit compileren. John the Ripper<\/a><\/noindex>, dat trouwens ondersteuning voor DCC heeft toegevoegd, zodat het ook kan worden gebruikt. Laten we aannemen dat de insider niet wil rommelen met John the Ripper en houdt van het draaien van 'gcc' op verouderde C-code.<\/p>\n

Door de rol van de insider te spelen heb ik verschillende combinaties geprobeerd en uiteindelijk ontdekte ik dat Cruella's wachtwoord 'Yankees2019' is (zie hieronder). Missie geslaagd!<\/p>\n

\"Verborgen<\/p>\n

Een beetje sociale engineering, een snufje gokken en een snuifje Maltego \u2013 en je bent al op weg om de DCC-hash te kraken.<\/em><\/p>\n

Ik stel voor dit hierbij te laten. We zullen op dit onderwerp in andere publicaties terugkomen en nog meer langzame en subtiele aanvalsmethoden bekijken, steeds teruggrijpend op de geweldige set tools van Impacket.
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041c\u044b \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e \u043f\u0438\u0448\u0435\u043c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u0445\u0430\u043a\u0435\u0440\u044b \u0447\u0430\u0441\u0442\u043e \u043e\u043f\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 \u0432\u0437\u043b\u043e\u043c\u0430 \u0431\u0435\u0437 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u0447\u0442\u043e\u0431\u044b \u0438\u0437\u0431\u0435\u0436\u0430\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u041e\u043d\u0438 \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u00ab\u0432\u044b\u0436\u0438\u0432\u0430\u044e\u0442 \u043d\u0430 \u043f\u043e\u0434\u043d\u043e\u0436\u043d\u043e\u043c \u043a\u043e\u0440\u043c\u0443\u00bb, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 Windows, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0431\u0445\u043e\u0434\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u041c\u044b, \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u043d\u0438\u043a\u0438, \u0442\u0435\u043f\u0435\u0440\u044c \u0432\u044b\u043d\u0443\u0436\u0434\u0435\u043d\u044b \u0438\u043c\u0435\u0442\u044c \u0434\u0435\u043b\u043e \u0441 \u043f\u0435\u0447\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u044f\u043c\u0438 \u0442\u0430\u043a\u0438\u0445 \u0445\u0438\u0442\u0440\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u0432\u0437\u043b\u043e\u043c\u0430: \u0443\u0434\u0430\u0447\u043d\u043e \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91575,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91574","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Verborgen wachtwoordhack met Smbexec | ProHoster","description":"We schrijven regelmatig over hoe vaak hackers actief zijn.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/skrytyj-vzlom-parolej-s-pomoshhyu-smbexec","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0432\u0437\u043b\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u0435\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Smbexec | ProHoster","og:description":"\u041c\u044b \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e \u043f\u0438\u0448\u0435\u043c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u0445\u0430\u043a\u0435\u0440\u044b \u0447\u0430\u0441\u0442\u043e.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/skrytyj-vzlom-parolej-s-pomoshhyu-smbexec","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-14T17:42:27+00:00","article:modified_time":"2020-08-14T17:42:27+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91574","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:25:22","updated":"2022-09-28 07:05:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/91574","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=91574"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/91574\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/91575"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=91574"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=91574"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=91574"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}