Ne rrijemi shkruajmë rregullisht se si hakerët shpesh mbështeten në përdorimin , për të evituar zbulesën. Ata në të vërtetë , duke përdorur mjete standarde të Windows, duke anashkaluar antivirusët dhe utilitat e tjera për zbulimin e aktivitetit të dëmshëm. Ne, si mbrojtës, tani jemi të detyruar të përballemi me pasojat e trishtueshme të këtyre teknikave të sofistikuara të thyerjes: një punonjës i vendosur në mënyrë të përshtatshme mund të përdorë të njëjtin qasje për të vjedhur fshehurazi të dhënat (pronësinë intelektuale të kompanisë, numrat e kartave të kreditit). Dhe nëse ai nuk nxitohet, por punon ngadalë dhe pa u vënë re, do të jetë jashtëzakonisht e vështirë - por megjithatë e mundshme nëse përdoren qasjet e duhura dhe përkatëse , - për të zbuluar një aktivitet të tillë.
Nga ana tjetër, nuk do të doja ta demonizoj punonjësit, pasi askush nuk dëshiron të punojë në një ambient biznesi të drejtuar nga «1984» i Orwell-it. Për fat, ekzistojnë disa hapa praktikë dhe këshilla që mund të komplikohet ndjeshëm jeta insidërve. Ne do të shqyrtojmë metodat e fshehta të sulmeve, të përdorura nga hakerët - punonjës me një background teknik të caktuar. Pak më vonë do të diskutojmë mundësitë për të reduktuar këto rreziqe – do të shqyrtojmë si variantin teknik ashtu edhe atë organizativ.
Çfarë është e keqe me PsExec?
Edward Snowden, në mënyrë të drejtë ose të padrejtë, është bërë një sinonim për vjedhjen e të dhënave nga brenda. Po ashtu, mos harroni të shqyrtoni për insidërët e tjerë që gjithashtu meritojnë njëfarë statusi të njohur. Një pikë e rëndësishme për metodologjitë që përdori Snowden është - aq sa e dimë, ai nuk instaloi asnjë softuer të jashtëm të dëmshëm!
Përkundrazi, Snowden përdori pak inxhinieri sociale dhe shfrytëzoi pozitat e tij si administrator sistemi për të mbledhur fjalëkalime dhe për të krijuar kredenciale. Asgjë e komplikuar - asnjë , sulme ose .
Punonjësit e organizatave nuk janë gjithmonë në pozita unike si Snowden, por nga koncepti i «mbijetesës nga ushqimi i mbetur» mund të nxirren disa mësime të rëndësishme - mos kryeni asnjë veprim të dëmshëm që mund të zbuloni, dhe veçanërisht jeni të kujdesshëm me përdorimin e kredencialeve. Mbani mend këtë mendim.
dhe kusuri i tij kanë bërë një përshtypje të madhe për një numër të konsiderueshëm pentestuesish, hakerësh dhe blogerësh të sigurisë informatike. Dhe në kombinim me mimikatz, psexec u lejon sulmuesve të lëvizin brenda rrjetit pa nevojën për të ditur fjalëkalimin në formë të hapur.
Mimikatz kap hash-in NTLM nga procesi LSASS, dhe më pas dërgon një token ose kredenciale - e njohur si sulmi «pass the hash» - në psexec, duke i lejuar sulmuesit të hyjë në një server tjetër në emër të një përdoruesi tjetër. Dhe me çdo lëvizje në një server të ri, sulmuesi mbledh kredenciale të reja, duke zgjeruar mundësitë e tij për të gjetur përmbajtje të disponueshme.
Kur fillova së pari të punoj me psexec, më dukej thjesht magjik – falë , zhvleftësit të gjenialshëm të psexec, - por unë gjithashtu e di për komponentët e tij të zhurmshëm. Ai nuk është asnjëherë fshehur!
Fakti i parë interesant mbi psexec është se ai përdor një protokoll të jashtëzakonshëm të transferimit të skedarëve SMB nga Microsoft. Me anë të SMB, psexec çon skedarë të vegjël binarë në sistemin e synuar, duke i vendosur ato në dosjen C:Windows.
Më pas, psexec krijon një shërbim Windows duke përdorur binarin e kopjuar dhe e aktivizon atë me një emër shumë të «papritur» PSEXECSVC. Në këtë proces mund ta shihni të gjithë këtë, ashtu si unë, duke e vëzhguar makinën e largët (shih më poshtë).
Vizitkarta e Psexec: shërbimi «PSEXECSVC». Ai aktivizon skedarin binar, i cili u vendos përmes SMB në dosjen C:Windows.
Si fazë përfundimtare, skedari binar i kopjuar hap një lidhje RPC në serverin e synuar dhe më pas merr komanda të kontrollit (në default - përmes cmd-shell Windows), duke i ekzekutuar ato dhe duke e redirectuar input-in dhe output-in në makinën e sulmuesit. Në këtë mënyrë, sulmuesi sheh një komandë të thjeshtë - ashtu si nëse do të ishte lidhur drejtpërdrejt.
Një sërë komponentësh dhe një proces shumë të zhurmshëm!
Mekanizmi kompleks i proceseve të brendshme të psexec shpjegon mesazhin që më ka hutuar gjatë testeve të mia të para disa vjet më parë: «Duke filluar PSEXECSVC …» dhe pauzën e mëtejshme përpara se të shfaqej linja e komandave.
Psexec nga Impacket në të vërtetë tregon se çfarë ndodh «nën kapuç».
Nuk është çudi: psexec ka bërë një sasi të madhe pune «nën kapuç». Nëse jeni të interesuar për një shpjegim më të detajuar, shikoni me një përshkrim të shkëlqyer.
Duket se kur përdoret si një mjet për administrimin e sistemeve, që ishte qëllimi i tij fillestar psexec, nuk ka asgjë të frikshme në "zhurmimin" e të gjithë këtyre mekanizmave të Windows. Për sulmuesin, megjithatë, psexec do të krijojë komplikaime, dhe për një brendës të kujdesshëm dhe inteligjent, si Snowden, psexec ose një utilitar i ngjashëm do të jetë një rrezik shumë i madh.
Dhe këtu vjen Smbexec
SMB është një mënyrë e zgjuar dhe e fshehtë për të transferuar skedarë midis serverëve, dhe hakerët janë infiltruar drejtpërdrejt në SMB që prej kohësh. Mendoj se të gjithë e dinë që nuk duhet portat SMB 445 dhe 139 në internet, apo jo?
Në vitin 2013, në Defcon, Eric Milman () prezantoi , në mënyrë që testuesit e sigurisë të mund të provojnë thyerjen e fshehtë të SMB. Nuk e di të gjithë historinë, por më pas Impacket e përmirësoi më tej smbexec. Në të vërtetë, për testimin tim, shkarkova skritpot e Impacket në Python me .
Ndryshe nga psexec, smbexec eviton transferimin e një skedari binar të mundshëm të identifikueshëm në makinën që është objektiv. Në vend të kësaj, utilitari jeton krejtësisht nga "ushqimi" duke ekzekutuar komandën lokale e komandës Windows.
Këto janë veprimet e saj: dërgon një komandë nga makina sulmuese përmes SMB në një skedar të veçantë hyrës, dhe më pas krijon dhe ekzekuton një komandë të komplikuar (si një shërbim Windows) që do të duket e njohur për ata që njihen me Linux. Në përmbledhje: ajo ekzekuton një shell të natyrshëm Windows cmd, direccionon daljen në një skedar tjetër dhe pastaj e dergon përsëri përmes SMB në makinën e sulmuesit.
Mënyra më e mirë për ta kuptuar këtë do të ishte të studiojë komandën që arrita të marr nga regjistri i ngjarjeve (shih më poshtë).
Nuk është ky një rast fantastik i reriditjes së hyrjes/daljes? Për më tepër, krijimi i një shërbimi ka identifikuesin e ngjarjes 7045.
Ashtu si psexec, ajo gjithashtu krijon një shërbim që bën të gjithë punën, por shërbimi pastaj shihet përdoret vetëm një herë për të ekzekutuar komandën dhe pastaj zhduket! Një punonjës i sigurisë informative që vëzhgon makinën e viktimës nuk do të jetë në gjendje të zbulojë indikatorë të dukshëm të sulmit: nuk ka asnjë skedar të dëmshëm që ekzekutohet, nuk krijohet asnjë shërbim i përhershëm, dhe nuk ka prova për përdorimin e RPC, pasi SMB është mjeti i vetëm i transferimit të të dhënave. Gjeniale!
Nga ana e sulmuesit, është në dispozicion një "pseudo-shell" me vonesa midis dërgimit të komandës dhe marrjes së përgjigjes. Por këto janë mjaft të mjaftueshme për punonjësin e keq, qoftë brenda ose një haker të jashtëm, i cili tashmë ka një platformë, për të filluar kërkimin pas përmbajtjeve interesante.
Për të rikthyer të dhënat nga makina objektiv në makinën e sulmuesit, përdoret Po, është po ajo Samba , por e riformatuar në një skript Python nga Impacket. Në të vërtetë, smbclient ju lejon të organizoni në fshehtësi transferimin e FTP mbi SMB.
Le të bëjmë një hap prapa dhe të mendojmë se çfarë mund të sjellë kjo për një punonjës. Në skenarin tim imagjinar, le të themi që një bloger, një analist financiar ose një këshilltar të sigurisë me pagesë të lartë lejohet të përdorë laptopin e saj personal për punë. Si rezultat i një procesi magjik, ajo ofendohet me kompaninë dhe "shkon në rrugë të gabuar". Në varësi të sistemit operativ të laptopit, ajo ose përdor versionin Python nga Impact, ose versionin Windows të smbexec ose smbclient si një skedar .exe.
Si Snowden, ajo mëson fjalëkalimin e një përdoruesi tjetër duke e parë atë në supe, ose i ndodh që të gjejë një skedar të tekstit me fjalëkalimin. Dhe me këto të dhëna, ajo fillon të kërkojë në sistem në një nivel më të lartë privilegji.
Thyerja e DCC: nuk na nevojitet asnjë "budalla" Mimikatz
Në postimet e mia të mëparshme që kanë të bëjnë me testimin e sigurisë, unë kam përdorur shpesh mimikatz. Ky është një mjet fantastik për kapjen e kredencialeve — NTLM-hesh dhe madje edhe fjalëkalimeve në formë të qartë, që fshihen brenda laptopëve dhe presin të përdoren.
Kohët kanë ndryshuar. Mjetet e monitorimit janë bërë më të mira në zbuluar dhe bllokuar mimikatz. Administratoret e sigurisë informative gjithashtu kanë më shumë mundësi për të reduktuar riskun e sulmeve të tipit "kaloni hashin" (të mëposhtmen – PtH).
Pra, çfarë duhet të bëjë një punonjës i mençur për të mbledhur kredenciale shtesë pa përdorur mimikatz?
Në paketën nga Impacket ka një utilitar të quajtur , e cila nxjerr të dhënat e autentifikimit nga cache i Domain Credential Cache, ose shkurt DCC. Sa e kuptoj, nëse një përdorues i domain-it hyn në server, por kontrolluesi i domain-it nuk është i arritshëm, DCC i lejon serverit të autentifikojë përdoruesin. Në të gjitha rastet, secretsdump ju lejon të nxirrni të gjithë këta hash-e nëse janë të disponueshëm.
Hash-et DCC janë nuk janë hash-et NTLM dhe ato nuk mund të përdoren për një sulm PtH..
Mirë, mund të provoni t'i thyeni ata për të marrë fjalëkalimin origjinal. Megjithatë, Microsoft është bërë më e zgjuar në menaxhimin e DCC dhe ka qenë jashtëzakonisht e vështirë të thyhen hash-et DCC. Po, ka , 'shkaktari më i shpejtë i fjalëkalimeve në botë', por kërkon një GPU për të punuar në mënyrë efektive.
Në vend të kësaj, le të mendojmë si Snowden. Një punonjës mund të bëjë inxhinieri sociale dhe ndoshta të mësojë ndonjë informacion rreth personit, fjalëkalimi i të cilit dëshiron të thyejë. Për shembull, të mësojë nëse ndonjëherë është thyese ndonjë llogari online të këtij personi dhe të studiojë fjalëkalimin e tij në të hapur për ndonjë sugjerim.
Dhe ky është skenari që kam vendosur të ndjek. Le të supozojmë se një insajder ka mësuar se shefi i tij, Cruella, është thyer disa herë në faqe të ndryshme. Pas analizës së disa prej këtyre fjalëkalimeve, ai kupton se Cruella preferon të përdorë formën e emrit të ekipit të bejzbollit 'Yankees' dhe vitin aktual që e ndjek – 'Yankees2015'.
Nëse tani po provoni ta riprodhoni këtë në shtëpi, mund të shkarkoni një të vogël, 'C' , që implementon algoritmin e hash-it DCC dhe ta kompilon. , për t'ju thënë, shtoi mbështetje për DCC, kështu që mund të përdoret gjithashtu. Le të supozojmë se insajderi nuk dëshiron të merret me studimin e John the Ripper dhe e pëlqen të drejtojë 'gcc' mbi kodin e vjetër në C.
Duke luajtur rolin e insajderit, kam provuar disa kombinime të ndryshme dhe në fund arrita të zbuloj se fjalëkalimi i Cruellës është 'Yankees2019' (shih më poshtë). Misioni i përfunduar!
Pak inxhinieri sociale, ca të saktë dhe një kripë Maltego – dhe ju jeni në rrugën tuaj për të thyer hash-in DCC.
Sugjeroj që të përfundojmë këtu. Do të rikthehemi në këtë çështje në publikime të tjera dhe do të shqyrtojmë edhe më shumë metoda të ngadalta dhe të fshehta të sulmit, duke vazhduar për të mbështetur një grup të shkëlqyer mjetesh nga Impacket.
Burimi: habr.com
