Хаковање скривене лозинке помоћу Смбекец-а

Редовно пишемо о томе како се хакери често ослањају на експлоатацију методе хаковања без злонамерног кодада би се избегло откривање. Они буквално "преживети на пашњаку", користећи стандардне Виндовс алате, чиме се заобилазе антивируси и други услужни програми за откривање злонамерне активности. Ми, као браниоци, сада смо приморани да се носимо са несрећним последицама тако паметних техника хаковања: добро позициониран запослени може да користи исти приступ да тајно украде податке (интелектуална својина компаније, бројеви кредитних картица). А ако не жури, већ ради полако и тихо, биће изузетно тешко - али ипак могуће ако користи прави приступ и одговарајуће Алат, — за идентификацију такве активности.

С друге стране, не бих желео да демонизујем запослене јер нико не жели да ради у пословном окружењу директно из Орвелове 1984. Срећом, постоји низ практичних корака и животних хакова који инсајдерима могу знатно отежати живот. Размотрићемо прикривене методе напада, који хакери користе од стране запослених са неким техничким искуством. И мало даље ћемо разговарати о опцијама за смањење таквих ризика - проучићемо и техничке и организационе опције.

Шта није у реду са ПсЕкец-ом?

Едвард Сноуден, с правом или не, постао је синоним за крађу инсајдерских података. Узгред, не заборавите да погледате ову белешку о другим инсајдерима који такође заслужују статус славе. Једна важна ствар коју је вредно нагласити у вези са методама које је Сноуден користио јесте да је, колико нам је познато, он није инсталиран нема спољног злонамерног софтвера!

Уместо тога, Сноуден је користио мало друштвеног инжењеринга и своју позицију системског администратора за прикупљање лозинки и креирање акредитива. Ништа компликовано - ништа мимикатз, напади човек у средини или метасплоит.

Запослени у организацији нису увек у Сноуденовом јединственом положају, али постоји низ лекција које треба научити из концепта „преживљавања на испаши“ којих треба да буду свесни – да се не упуштају у било какву злонамерну активност која се може открити, а посебно да се опрезно са употребом акредитива. Запамтите ову мисао.

Псекец и његов рођак црацкмапекец су импресионирали небројене пентестере, хакере и блогере о сајбер безбедности. А када се комбинује са мимикатз-ом, псекец омогућава нападачима да се крећу унутар мреже без потребе да знају лозинку за чисти текст.

Мимикатз пресреће НТЛМ хеш из ЛСАСС процеса и затим прослеђује токен или акредитиве – тзв. напад "продај хеш". – у псекец-у, омогућавајући нападачу да се пријави на други сервер као други корисник. И са сваким наредним преласком на нови сервер, нападач прикупља додатне акредитиве, проширујући опсег својих могућности у потрази за доступним садржајем.

Када сам први пут почео да радим са псекец-ом, чинило ми се магично - хвала Марк Русинович, бриљантног програмера псекеца - али знам и за њега бучан компоненте. Он никада није тајанствен!

Прва занимљива чињеница о псекецу је да користи изузетно сложену СМБ мрежни протокол датотека од Мицрософта. Користећи СМБ, псекец преноси мали бинарни датотеке у циљни систем, стављајући их у фасциклу Ц:Виндовс.

Затим, псекец креира Виндовс услугу користећи копирани бинарни фајл и покреће је под изузетно „неочекиваним“ именом ПСЕКСЕЦСВЦ. У исто време, све ово можете видети, као што сам ја, гледајући удаљену машину (погледајте доле).

Псекец-ова позивна картица: услуга „ПСЕКСЕЦСВЦ“. Покреће бинарну датотеку која је смештена преко СМБ-а у фасциклу Ц:Виндовс.

Као последњи корак, отвара се копирана бинарна датотека РПЦ веза на циљни сервер, а затим прихвата контролне команде (преко Виндовс цмд љуске подразумевано), покреће их и преусмерава улаз и излаз на кућну машину нападача. У овом случају, нападач види основну командну линију - исто као да је директно повезан.

Много компоненти и веома бучан процес!

Комплексне унутрашње компоненте псекец-а објашњавају поруку која ме је збунила током мојих првих тестова пре неколико година: „Покретање ПСЕКСЕЦСВЦ-а...“ након чега следи пауза пре него што се појави командна линија.

Импацкет-ов Псекец заправо показује шта се дешава испод хаубе.

Није изненађујуће: псекец је обавио огроман посао испод хаубе. Ако сте заинтересовани за детаљније објашњење, погледајте овде овим диван опис.

Очигледно, када се користи као алат за администрацију система, што је било првобитна намена псекец, нема ништа лоше у „зујању“ свих ових Виндовс механизама. Међутим, за нападача би псекец створио компликације, а за опрезног и лукавог инсајдера попут Сноудена, псекец или сличан услужни програм би представљао превелики ризик.

А онда долази Смбекец

СМБ је паметан и тајанствен начин за пренос датотека између сервера, а хакери се вековима директно инфилтрирају у СМБ. Мислим да сви већ знају да није вредно тога отворен СМБ портови 445 и 139 на Интернет, зар не?

На Дефцон 2013, Ериц Миллман (брав0хак) представљено смбекец, тако да пентестери могу испробати стеалтх СМБ хаковање. Не знам целу причу, али онда је Импакет додатно рафинирао смбекец. У ствари, за своје тестирање, преузео сам скрипте са Имппацкета у Питхон-у Гитхуб.

За разлику од псекец, смбекец избегава пренос потенцијално откривене бинарне датотеке на циљну машину. Уместо тога, комунално предузеће у потпуности живи од пашњака до лансирања lokalni Виндовс командна линија.

Ево шта ради: прослеђује команду са машине која напада преко СМБ у посебну улазну датотеку, а затим креира и покреће сложену командну линију (попут Виндовс сервиса) која ће изгледати познато корисницима Линукса. Укратко: покреће изворну Виндовс цмд шкољку, преусмерава излаз на другу датотеку, а затим га шаље преко СМБ назад на машину нападача.

Најбољи начин да ово разумете је да погледате командну линију, до које сам могао да дођем из евиденције догађаја (погледајте доле).

Није ли ово најбољи начин за преусмеравање И/О? Узгред, креирање услуге има ИД догађаја 7045.

Као и псекец, он такође креира сервис који обавља сав посао, али сервис након тога уклоњен – користи се само једном за покретање команде и онда нестаје! Службеник за безбедност информација који надгледа машину жртве неће моћи да открије очигледан Индикатори напада: Нема покретања злонамерне датотеке, није инсталирана трајна услуга и нема доказа да се користи РПЦ јер је СМБ једини начин преноса података. Сјајно!

Са стране нападача, „псеудо-љуска“ је доступна са кашњењима између слања команде и пријема одговора. Али ово је сасвим довољно да нападач - било инсајдер или екстерни хакер који већ има упориште - почне да тражи занимљив садржај.

Користи се за враћање података са циљне машине на машину нападача смбцлиент. Да, то је иста Самба корисност, али је само Имппацкет конвертовао у Питхон скрипту. У ствари, смбцлиент вам омогућава да тајно хостујете ФТП трансфере преко СМБ.

Хајде да се вратимо корак уназад и размислимо шта ово може да учини за запосленог. У мом фиктивном сценарију, рецимо блогеру, финансијском аналитичару или високо плаћеном консултанту за безбедност је дозвољено да користи лични лаптоп за посао. Као резултат неког магичног процеса, она се увреди на компанију и „пође лоше“. У зависности од оперативног система лаптоп рачунара, он користи или верзију Питхон-а из Импацт-а, или Виндовс верзију смбекец-а или смбцлиент-а као .еке датотеку.

Попут Сноудена, она сазнаје лозинку другог корисника или гледајући преко рамена, или јој се посрећи и наиђе на текстуалну датотеку са лозинком. И уз помоћ ових акредитива, она почиње да копа по систему на новом нивоу привилегија.

Хаковање ДЦЦ: Не треба нам никакав "глупи" Мимикатз

У мојим претходним постовима о пентестирању, веома сам често користио мимикатз. Ово је одличан алат за пресретање акредитива – НТЛМ хешева, па чак и лозинки са чистим текстом скривених унутар лаптопа, само чекају да буду коришћене.
Времена су се променила. Алати за праћење су постали бољи у откривању и блокирању мимикатза. Администратори безбедности информација такође сада имају више опција да смање ризике повезане са нападима хеш-а (ПтХ).
Дакле, шта би паметан запосленик требало да уради да прикупи додатне акредитиве без коришћења мимикатза?

Импакетов комплет укључује услужни програм под називом сецретсдумп, који преузима акредитиве из кеша акредитива домена, или скраћено ДЦЦ. Колико сам схватио, ако се корисник домена пријави на сервер, али контролер домена није доступан, ДЦЦ дозвољава серверу да аутентификује корисника. У сваком случају, сецретсдумп вам омогућава да избаците све ове хешове ако су доступни.

ДЦЦ хешеви су не НТМЛ хеш и не може се користити за напад ПтХ.

Па, можете покушати да их хакујете да бисте добили оригиналну лозинку. Међутим, Мицрософт је постао паметнији са ДЦЦ-ом и ДЦЦ хешеве је постало изузетно тешко разбити. Да имам хасхцат, „најбржи погађач лозинки на свету“, али је за ефикасан рад потребан ГПУ.

Уместо тога, покушајмо да размишљамо као Сноуден. Запослени може да спроведе друштвени инжењеринг лицем у лице и евентуално сазна неке информације о особи чију лозинку жели да провали. На пример, сазнајте да ли је онлајн налог те особе икада хакован и проверите њену лозинку за чист текст да ли има трагова.

И ово је сценарио на који сам одлучио да кренем. Претпоставимо да је инсајдер сазнао да је његов шеф, Круела, неколико пута хакован на различитим веб ресурсима. Након што је анализирао неколико ових лозинки, схвата да Круела радије користи формат имена бејзбол тима „Ианкеес“ иза које следи текућа година – „Ианкеес2015“.

Ако сада покушавате да ово репродукујете код куће, можете преузети мали, "Ц" код, који имплементира ДЦЦ алгоритам хеширања и компајлира га. Јохн тхе Риппер, узгред, додао је подршку за ДЦЦ, па се може и користити. Претпоставимо да инсајдер не жели да се мучи са учењем Џона Трбосека и воли да покреће „гцц“ на застарелом Ц коду.

Глумећи улогу инсајдера, покушао сам неколико различитих комбинација и на крају сам успео да откријем да је Круелина лозинка била „Ианкеес2019“ (види доле). Мисија извршена!

Мало друштвеног инжењеринга, мало прорицања судбине и прстохват Малтега и на добром сте путу да разбијете ДЦЦ хеш.

Предлажем да завршимо овде. Вратићемо се овој теми у другим објавама и погледати још спорије и прикривеније методе напада, настављајући да градимо на Имппацкет-овом одличном скупу услужних програма.

Извор: ввв.хабр.цом