Виртуальные смарт-карты - это работает!
Компания Microsoft давно анонсировала, что пароли - это прошлый век и в новых версиях ОС Windows будет возможность альтернативных способов аутентификации.
Не наврали.
В статье описывается как можно создать виртуальную смарт-карту для аутентификации в домене. В качестве тестового стенда используется Windows Server 2016 и рабочая машина с Windows 10.
Интересно, познавательно, заставляет задуматься.
https://medium.com/@rootsecdev/virtual-smart-cards-and-password-hashes-in-active-directory-2016-environments-dd0340a4126
Компания Microsoft давно анонсировала, что пароли - это прошлый век и в новых версиях ОС Windows будет возможность альтернативных способов аутентификации.
Не наврали.
В статье описывается как можно создать виртуальную смарт-карту для аутентификации в домене. В качестве тестового стенда используется Windows Server 2016 и рабочая машина с Windows 10.
Интересно, познавательно, заставляет задуматься.
https://medium.com/@rootsecdev/virtual-smart-cards-and-password-hashes-in-active-directory-2016-environments-dd0340a4126
Medium
Virtual Smart Cards and password hashes in Active Directory 2016 Environments
The preface on this is to explore rotating password hashes in active directory 2016 environments and changes that were made to ease some…
Habr Time
Продолжение нашей прошлой статьи про расшифровку DPAPI-блобов.
В этот раз рассматриваем IE11
https://habr.com/ru/post/437390/
Продолжение нашей прошлой статьи про расшифровку DPAPI-блобов.
В этот раз рассматриваем IE11
https://habr.com/ru/post/437390/
Хабр
«Секретики» DPAPI. Взгляд на осла
В дополнение к нашей прошлой статье про расшифровку DPAPI-блобов расскажем еще о двух случаях, с которыми нам пришлось столкнуться. Речь пойдет о сохраненных паролях в браузерах MS IE11 и...
Alarm, Rubeus в сети
Все читали про большое исследование Elad Shamir, позволяющее провести атаку на AD, используя делегирование.
Был разработан инструментарий Rubeus, позволяющий осуществить атаку.
BlueTeam тоже не стоит на месте и первая компания уже добавила атрибуты для детектирования Rubeus в свои системы обнаружения вторжений.
Делимся с вами ссылкой на их пост. Если опустить рекламу компании - можно понять какие именно атрибуты были добавлены и оперативно добавить в свои средства защиты.
#blueteam
#WaggingtheDog
Детектирование - https://alsid.com/company/news/kerberos-resource-based-constrained-delegation-new-control-path
Исследование Wagging the Dog - https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
Все читали про большое исследование Elad Shamir, позволяющее провести атаку на AD, используя делегирование.
Был разработан инструментарий Rubeus, позволяющий осуществить атаку.
BlueTeam тоже не стоит на месте и первая компания уже добавила атрибуты для детектирования Rubeus в свои системы обнаружения вторжений.
Делимся с вами ссылкой на их пост. Если опустить рекламу компании - можно понять какие именно атрибуты были добавлены и оперативно добавить в свои средства защиты.
#blueteam
#WaggingtheDog
Детектирование - https://alsid.com/company/news/kerberos-resource-based-constrained-delegation-new-control-path
Исследование Wagging the Dog - https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
The Red Team Guide
Самые интересные и полезные вещи получаются, когда их создаёт несколько человек.
Делимся с вами ссылкой на книгу "The Red Team Guide", которая создаётся группой инициативных людей в формате краудсорсинга.
Интересно, полезно и необычно. Данная книга действительно будет местом сбора полезной информации. Ведь у каждого RedTeam специалиста, у каждой команды - свои взгляды, свой опыт и пул инструментов.
#redteam
https://docs.google.com/document/d/14VRt2veErhHrn5dwGybe2wxk3DYzU4lPyRCDzn_23WI/
Самые интересные и полезные вещи получаются, когда их создаёт несколько человек.
Делимся с вами ссылкой на книгу "The Red Team Guide", которая создаётся группой инициативных людей в формате краудсорсинга.
Интересно, полезно и необычно. Данная книга действительно будет местом сбора полезной информации. Ведь у каждого RedTeam специалиста, у каждой команды - свои взгляды, свой опыт и пул инструментов.
#redteam
https://docs.google.com/document/d/14VRt2veErhHrn5dwGybe2wxk3DYzU4lPyRCDzn_23WI/
Google Docs
The Red Team Guide (Review edition)
The Red Team Guide Review edition Note: This book will be free and available for public Original Initiative Post: The Red Team Guide - Crowdsourcing eBook on Peerlyst Authors (Who already published chapters): Ian Barwise Chiheb Chebbi Hamza M'hirsi…
Используем расширения для Chrome в macOS для закрепления в системе
Расширения для браузера Chrome давно используются при проведении атак на компанию, либо для закрепления в системе.
Усовершенствование средств защиты, в частности появление систем обнаружения угроз на конечных точках (EDR) - усложнили задачу использования расширений.
Однако для macOS проблема все ещё существует. Используя мобильные профили конфигурации есть возможность поставить вредоносное расширение для Chrome.
Интересная статья на примере загрузки на macOS вредоносного расширения, использующего в качестве полезной нагрузки фреймворк для пост-эксплуатации в macOS (Apfell).
https://posts.specterops.io/no-place-like-chrome-122e500e421f
Расширения для браузера Chrome давно используются при проведении атак на компанию, либо для закрепления в системе.
Усовершенствование средств защиты, в частности появление систем обнаружения угроз на конечных точках (EDR) - усложнили задачу использования расширений.
Однако для macOS проблема все ещё существует. Используя мобильные профили конфигурации есть возможность поставить вредоносное расширение для Chrome.
Интересная статья на примере загрузки на macOS вредоносного расширения, использующего в качестве полезной нагрузки фреймворк для пост-эксплуатации в macOS (Apfell).
https://posts.specterops.io/no-place-like-chrome-122e500e421f
Medium
No Place Like Chrome
Chrome extensions were first introduced to the public in December of 2009 and use HTML, JavaScript, and CSS to extend Chrome’s…
SSHazam. Скрываемся после закрепления
"Если хотите спасти мир - скажите волшебное слово" (с) Шазам
В наших реалиях - если хотите качественно закрепиться в системе заказчика - без волшебства не обойтись.
Делимся небольшой, но ёмкой статьёй о том как спрятать Empire-агентов в SSH туннель, чтобы избежать детектирования со стороны средств защиты.
https://www.blackhillsinfosec.com/sshazam-hide-your-c2-inside-of-ssh/
#redteam
"Если хотите спасти мир - скажите волшебное слово" (с) Шазам
В наших реалиях - если хотите качественно закрепиться в системе заказчика - без волшебства не обойтись.
Делимся небольшой, но ёмкой статьёй о том как спрятать Empire-агентов в SSH туннель, чтобы избежать детектирования со стороны средств защиты.
https://www.blackhillsinfosec.com/sshazam-hide-your-c2-inside-of-ssh/
#redteam
Black Hills Information Security
SSHazam: Hide Your C2 Inside of SSH - Black Hills Information Security
Carrie Roberts //* SSHazam is a method of running any C2 tool of your choice inside a standard SSH tunnel to avoid network detections. The examples here involve running PowerShell […]
Всё будет в Ажуре
Тенденция последних лет - переносить инфраструктуру в облако, использовать облачные сервисы и интегрировать их с доменом. Действительно, это удобно и, на первый взгляд, безопаснее.
Одним из популярных решений на данный момент является Azure AD. Очень удобно, когда AD компании синхронизируется с облачной платформой, и пользователи без проблем могут пользоваться как приложениями от Microsoft (Office365, SharePoint, OneDrive и т.д.), так и другими сервисами, которые могут интегрироваться с Azure AD.
Всем кажется, что все просто - поставил галочку, нажал кнопочку и все работает. Однако, все не совсем так. Точнее совсем не так. И сам Azure AD - сложная инфраструктура с большой документацией и различного рода настройками.
Делимся с вами статьей, которая рассказывает о разных способах интеграции Azure AD c AD компании. И насколько различные настройки полезны для проведения RedTeam.
https://blog.xpnsec.com/azuread-connect-for-redteam/
#redteam
Тенденция последних лет - переносить инфраструктуру в облако, использовать облачные сервисы и интегрировать их с доменом. Действительно, это удобно и, на первый взгляд, безопаснее.
Одним из популярных решений на данный момент является Azure AD. Очень удобно, когда AD компании синхронизируется с облачной платформой, и пользователи без проблем могут пользоваться как приложениями от Microsoft (Office365, SharePoint, OneDrive и т.д.), так и другими сервисами, которые могут интегрироваться с Azure AD.
Всем кажется, что все просто - поставил галочку, нажал кнопочку и все работает. Однако, все не совсем так. Точнее совсем не так. И сам Azure AD - сложная инфраструктура с большой документацией и различного рода настройками.
Делимся с вами статьей, которая рассказывает о разных способах интеграции Azure AD c AD компании. И насколько различные настройки полезны для проведения RedTeam.
https://blog.xpnsec.com/azuread-connect-for-redteam/
#redteam
XPN InfoSec Blog
@_xpn_ - Azure AD Connect for Red Teamers
With clients increasingly relying on cloud services from Azure, one of the technologies that has been my radar for a while is Azure AD. For those who have not had the opportunity to work with this, the concept is simple, by extending authentication beyond…
Неограниченное делегирование и Kerberos
В этом году модно говорить про проблемы с делегирование. Одним из ярких примеров был и остаётся PrivExchange.
Исследователи пошли дальше и решили узнать возможно ли как-то связать недостатки в делегировании и получение TGT билетов.
Был написан инструмент krbrelayx (https://github.com/dirkjanm/krbrelayx), в котором реализовано 2 способа получения прав доменного администратора путём неограниченного делегирования:
- SpoolService (не баг, а фича, которая основана на непреднамеренных рисках при двустороннем доверии между лесами в AD)
- PrivExchange (не баг, а фича этого года, по которой Microsoft всё-таки выпустил рекомендации по устранению)
В общем огненная статья!
Рекомендуем!
https://dirkjanm.io/krbrelayx-unconstrained-delegation-abuse-toolkit/
#redteam
В этом году модно говорить про проблемы с делегирование. Одним из ярких примеров был и остаётся PrivExchange.
Исследователи пошли дальше и решили узнать возможно ли как-то связать недостатки в делегировании и получение TGT билетов.
Был написан инструмент krbrelayx (https://github.com/dirkjanm/krbrelayx), в котором реализовано 2 способа получения прав доменного администратора путём неограниченного делегирования:
- SpoolService (не баг, а фича, которая основана на непреднамеренных рисках при двустороннем доверии между лесами в AD)
- PrivExchange (не баг, а фича этого года, по которой Microsoft всё-таки выпустил рекомендации по устранению)
В общем огненная статья!
Рекомендуем!
https://dirkjanm.io/krbrelayx-unconstrained-delegation-abuse-toolkit/
#redteam
GitHub
GitHub - dirkjanm/krbrelayx: Kerberos relaying and unconstrained delegation abuse toolkit
Kerberos relaying and unconstrained delegation abuse toolkit - dirkjanm/krbrelayx
MS ATA Bypass
По следам прошедшего выступления на DefconNN - написали небольшую заметку про Microsoft Advanced Threat Analytics.
https://medium.com/@karelova.ov/ms-ata-bypass-16572cf9cde3
#redteam
По следам прошедшего выступления на DefconNN - написали небольшую заметку про Microsoft Advanced Threat Analytics.
https://medium.com/@karelova.ov/ms-ata-bypass-16572cf9cde3
#redteam
Medium
MS ATA Bypass
Недавно на DefconNN мы рассказывали про платформу, помогающую детектировать целевые атаки и внутренние угрозы (Microsoft Advanced Threat…
Заметки на полях
А как вы справляетесь с большим количеством информации? Сложно структурировать информацию, которую получаешь в ходе проведения исследований, которая накапливается с опытом.
Самый большой лайфхак - все надо записывать. Даже если кажется, что такую информацию никогда не забудешь. Забудешь.
Поэтому сегодня делимся с вами структурированными записями про WAF.
Спасибо человеку, который все собрал в кучу.
https://github.com/0xInfection/Awesome-WAF
Чтобы не забыть и вспомнить, когда надо будет!
#redteam
А как вы справляетесь с большим количеством информации? Сложно структурировать информацию, которую получаешь в ходе проведения исследований, которая накапливается с опытом.
Самый большой лайфхак - все надо записывать. Даже если кажется, что такую информацию никогда не забудешь. Забудешь.
Поэтому сегодня делимся с вами структурированными записями про WAF.
Спасибо человеку, который все собрал в кучу.
https://github.com/0xInfection/Awesome-WAF
Чтобы не забыть и вспомнить, когда надо будет!
#redteam
GitHub
GitHub - 0xInfection/Awesome-WAF: Everything about Web Application Firewalls (WAFs) from Security Standpoint! 🔥
Everything about Web Application Firewalls (WAFs) from Security Standpoint! 🔥 - 0xInfection/Awesome-WAF
Поговорим о Jenkins
В последнее время в инфраструктуре заказчика стал часто встречаться такой инструмент как Jenkins. Любая компания, у которой есть необходимость автоматически деплоить приложения или инфраструктуру, управлять различными задачами - использует Jenkins.
Почему?
Потому что это бесплатно и очень удобно. Веб-интерфейс, огромное количество различных плагинов помогают инструменту быть юзер френдли.
Посмотрим теперь со стороны RedTeam: у нас есть очень популярный сервис, в котором много полезной информации, через который можно управлять инфраструктурой или задачами компании. На него можно логиниться, а значит он хранит пароли и какие-то ключи. Значит надо попробовать это все получить...
В общем делимся с вами 2-мя небольшими зарисовками о том как можно найти config.xml в Jenkins и расшифровать пароли, которые там хранятся.
https://carnal0wnage.attackresearch.com/2019/03/jenkins-identify-ip-addresses-of-nodes.html
https://carnal0wnage.attackresearch.com/2019/02/jenkins-decrypting-credentialsxml.html
#redteam
В последнее время в инфраструктуре заказчика стал часто встречаться такой инструмент как Jenkins. Любая компания, у которой есть необходимость автоматически деплоить приложения или инфраструктуру, управлять различными задачами - использует Jenkins.
Почему?
Потому что это бесплатно и очень удобно. Веб-интерфейс, огромное количество различных плагинов помогают инструменту быть юзер френдли.
Посмотрим теперь со стороны RedTeam: у нас есть очень популярный сервис, в котором много полезной информации, через который можно управлять инфраструктурой или задачами компании. На него можно логиниться, а значит он хранит пароли и какие-то ключи. Значит надо попробовать это все получить...
В общем делимся с вами 2-мя небольшими зарисовками о том как можно найти config.xml в Jenkins и расшифровать пароли, которые там хранятся.
https://carnal0wnage.attackresearch.com/2019/03/jenkins-identify-ip-addresses-of-nodes.html
https://carnal0wnage.attackresearch.com/2019/02/jenkins-decrypting-credentialsxml.html
#redteam
Carnal0Wnage
Jenkins - Identify IP Addresses of nodes
While doing some research I found several posts on stackoverflow asking how to identify the IP address of nodes. You might want to know thi...
Сказ о том, как происходит детектирование Empire с помощью sysinternals
Делимся с вами исследованием о том, как грамотная BlueTeam видит запуск и жизнь Empire на машине. Грамотная - потому что использует инструмент sysinternals, который позволяет анализировать внутреннюю работу Windows.
Честно - все как на ладони. Главное знать, куда смотреть и грамотно пользоваться инструментарием.
https://holdmybeersecurity.com/2019/02/27/sysinternals-for-windows-incident-response/
#blueteam
Делимся с вами исследованием о том, как грамотная BlueTeam видит запуск и жизнь Empire на машине. Грамотная - потому что использует инструмент sysinternals, который позволяет анализировать внутреннюю работу Windows.
Честно - все как на ладони. Главное знать, куда смотреть и грамотно пользоваться инструментарием.
https://holdmybeersecurity.com/2019/02/27/sysinternals-for-windows-incident-response/
#blueteam
MAQ - это тоже про AD
Чем глубже погружаешься в изучение Active Directory - тем больше кажется, что это ещё не до конца освоенная человечеством вселенная.
Делимся очередной статьей о "фишечках" AD.
В этот раз речь пойдет о MAQ (MachineAccountQuota) - атрибут, который указывает число учётных записей компьютеров, которые непривилегированный пользователь может создать в домене.
Угу.
Пользователь, обычный, без привилегий - создаёт учётные записи компьютеров в домене. Ну действительно, зачем тогда разграничения вообще нужны?
В общем суть в том, что MAQ - атрибут уровня доменного администратора и по умолчанию, при создании AD, для каждого пользователя домена ставится значение 10. Т.е. каждый пользователь может создавать по 10 учётных записей компьютера.
Созданная таким образом учётная запись автоматически добавляется в группу "компьютеры домена", у которой есть дополнительные привилегии.
Также имеется возможность на редактирование каких-то атрибутов учётной записи.
А это значит, что есть возможность делегирование полномочий - ну а там уже можно использовать атаку неограниченного делегирования Kerberos.
В общем статья интересная
Рекомендуем
https://blog.netspi.com/machineaccountquota-is-useful-sometimes/
Чем глубже погружаешься в изучение Active Directory - тем больше кажется, что это ещё не до конца освоенная человечеством вселенная.
Делимся очередной статьей о "фишечках" AD.
В этот раз речь пойдет о MAQ (MachineAccountQuota) - атрибут, который указывает число учётных записей компьютеров, которые непривилегированный пользователь может создать в домене.
Угу.
Пользователь, обычный, без привилегий - создаёт учётные записи компьютеров в домене. Ну действительно, зачем тогда разграничения вообще нужны?
В общем суть в том, что MAQ - атрибут уровня доменного администратора и по умолчанию, при создании AD, для каждого пользователя домена ставится значение 10. Т.е. каждый пользователь может создавать по 10 учётных записей компьютера.
Созданная таким образом учётная запись автоматически добавляется в группу "компьютеры домена", у которой есть дополнительные привилегии.
Также имеется возможность на редактирование каких-то атрибутов учётной записи.
А это значит, что есть возможность делегирование полномочий - ну а там уже можно использовать атаку неограниченного делегирования Kerberos.
В общем статья интересная
Рекомендуем
https://blog.netspi.com/machineaccountquota-is-useful-sometimes/
NetSPI
MachineAccountQuota is USEFUL Sometimes: Exploiting One of Active Directory's Oddest Settings
Learn about what MAQ is and beyond in our blog entitled MachineAccountQuota is USEFUL Sometimes: Exploiting One of Active Directory's Oddest Settings.
О том как Pulse Secure может помочь в повышении привилегий на Windows
Pulse Secure - программное обеспечение для создания SSL VPN в корпоративной сети. Достаточно популярное решение.
Если у пользователя стоить клиент Pulse Secure, то можно локально повысить привилегии на его машине.
Проблема заключается в том, что файлы журнала клиента Pulse Secure создаются системными процессами, а записывать в них могут все группы пользователей (т.к. логируются как системные, так и пользовательские процессы).
Таким образом непривилегированный пользователь может получить привилегии системы на локальном компьютере.
Подробнее вы можете прочитать по ссылке
https://offsec.provadys.com/pulse-secure-arbitrary-file-write-eop.html
И да, данная уязвимость известна (CVE-2018-11002), однако патчи ещё не выпущены
#redteam
Pulse Secure - программное обеспечение для создания SSL VPN в корпоративной сети. Достаточно популярное решение.
Если у пользователя стоить клиент Pulse Secure, то можно локально повысить привилегии на его машине.
Проблема заключается в том, что файлы журнала клиента Pulse Secure создаются системными процессами, а записывать в них могут все группы пользователей (т.к. логируются как системные, так и пользовательские процессы).
Таким образом непривилегированный пользователь может получить привилегии системы на локальном компьютере.
Подробнее вы можете прочитать по ссылке
https://offsec.provadys.com/pulse-secure-arbitrary-file-write-eop.html
И да, данная уязвимость известна (CVE-2018-11002), однако патчи ещё не выпущены
#redteam
Azure AD и Active Directory
На прошлой неделе в Германии проходила конференция Troopers.
Делимся с вами презентацией с выступления Dirk-jan (того самого, который опубликовал ресеч про PrivExchange).
https://github.com/mis-team/interesting/blob/master/inyourcloud_TR19.pdf
Инструментарий и видео будут опубликованы позже. Но и из презентации можно почерпнуть много полезных вещей:
1) о взаимодействии AD и Azure AD
2) о том, что такое AD Sync и как эта база формируется
3) о том как может помочь/навередить SSO (это с какой стороны посмотреть)
А самое главное - компрометация аккаунта в AzureAD (который отвечает за синхронизацию хешей пользователей между AD и Azure) означает автоматическую компрометацию домена компании.
В общем рекомендуем почитать, а потом ещё и послушать, а может быть и поюзать...
#redteam
На прошлой неделе в Германии проходила конференция Troopers.
Делимся с вами презентацией с выступления Dirk-jan (того самого, который опубликовал ресеч про PrivExchange).
https://github.com/mis-team/interesting/blob/master/inyourcloud_TR19.pdf
Инструментарий и видео будут опубликованы позже. Но и из презентации можно почерпнуть много полезных вещей:
1) о взаимодействии AD и Azure AD
2) о том, что такое AD Sync и как эта база формируется
3) о том как может помочь/навередить SSO (это с какой стороны посмотреть)
А самое главное - компрометация аккаунта в AzureAD (который отвечает за синхронизацию хешей пользователей между AD и Azure) означает автоматическую компрометацию домена компании.
В общем рекомендуем почитать, а потом ещё и послушать, а может быть и поюзать...
#redteam
GitHub
interesting/inyourcloud_TR19.pdf at master · mis-team/interesting
interesting researches and presentations. Contribute to mis-team/interesting development by creating an account on GitHub.
Заметки на полях: инфраструктура для работы
Все знают, что основная платформа для проведения работ в сфере тестирования на проникновение - kali linux.
Однако она не всегда удобна, да и, на самом деле, совсем не удобна, для проведения RedTeam кампаний на этапе работы уже внутри сети.
Гораздо удобнее имитировать действия обычного пользователя с Windows машины. Но инструменты то нужны специфические. И тут начинается - не всегда все нормально устанавливается, тратится много времени и в общем-то совершенно не удобно.
Опытные команды используют docker-контейнеры или самописные скрипты для разворачивания новой машины со всеми плюшками в один клик.
Однако не все готовы к такому. И тут совершенно недавно компания Fireeye выпустила совершенно крутую штуку (так по крайней мере кажется на первый взгляд, мы сами ещё не тестировали) - CommandoVM - Windows машина со всеми необходимыми инструментами для проведения пентеста или RedTeam.
Делимся с вами ссылками на пост от Fireeye с примерами
https://www.fireeye.com/blog/threat-research/2019/03/commando-vm-windows-offensive-distribution.html
И гитхаб, откуда можно все скачать
https://github.com/fireeye/commando-vm
#redteam
Все знают, что основная платформа для проведения работ в сфере тестирования на проникновение - kali linux.
Однако она не всегда удобна, да и, на самом деле, совсем не удобна, для проведения RedTeam кампаний на этапе работы уже внутри сети.
Гораздо удобнее имитировать действия обычного пользователя с Windows машины. Но инструменты то нужны специфические. И тут начинается - не всегда все нормально устанавливается, тратится много времени и в общем-то совершенно не удобно.
Опытные команды используют docker-контейнеры или самописные скрипты для разворачивания новой машины со всеми плюшками в один клик.
Однако не все готовы к такому. И тут совершенно недавно компания Fireeye выпустила совершенно крутую штуку (так по крайней мере кажется на первый взгляд, мы сами ещё не тестировали) - CommandoVM - Windows машина со всеми необходимыми инструментами для проведения пентеста или RedTeam.
Делимся с вами ссылками на пост от Fireeye с примерами
https://www.fireeye.com/blog/threat-research/2019/03/commando-vm-windows-offensive-distribution.html
И гитхаб, откуда можно все скачать
https://github.com/fireeye/commando-vm
#redteam
Google Cloud Blog
Commando VM: The First of Its Kind Windows Offensive Distribution | Mandiant | Google Cloud Blog
Рейтинг упоминания киберпреступных группировок в медиапространстве в 1 квартале 2019 года
Киберпреступные группировки постоянно упоминаются в различных источниках медиапространства. Сегодня мы публикуем небольшой рейтинг по упоминаниям в 1 квартале 2019 года.
На самом деле интересно - в атаках активно используются свежие уязвимости, начинают проявлять себя новые преступные группировки
https://medium.com/@karelova.ov/рейтинг-упоминания-киберпреступных-группировок-в-медиапространстве-в-1-квартале-2019-года-301dac270977
Киберпреступные группировки постоянно упоминаются в различных источниках медиапространства. Сегодня мы публикуем небольшой рейтинг по упоминаниям в 1 квартале 2019 года.
На самом деле интересно - в атаках активно используются свежие уязвимости, начинают проявлять себя новые преступные группировки
https://medium.com/@karelova.ov/рейтинг-упоминания-киберпреступных-группировок-в-медиапространстве-в-1-квартале-2019-года-301dac270977
Medium
Рейтинг упоминания киберпреступных группировок в медиапространстве в 1 квартале 2019 года
Различные киперпреступные группировки постоянно упоминаются в различных источниках медиапространства. Представляем вашему вниманию…
[MIS]ter & [MIS]sis Team
Azure AD и Active Directory На прошлой неделе в Германии проходила конференция Troopers. Делимся с вами презентацией с выступления Dirk-jan (того самого, который опубликовал ресеч про PrivExchange). https://github.com/mis-team/interesting/blob/master/…
А тем временем опубликовали тулзу, которая помогает извлечь и расшифровать сохраненные учётные данные с сервера AzureAD Connect. Поскольку такие аккаунты обладают привилегиями - получаем доступ и в саму Active Directory и в Azure AD.
Ссылка: https://github.com/fox-it/adconnectdump
Ссылка: https://github.com/fox-it/adconnectdump
GitHub
GitHub - dirkjanm/adconnectdump: Dump Azure AD Connect credentials for Azure AD and Active Directory
Dump Azure AD Connect credentials for Azure AD and Active Directory - dirkjanm/adconnectdump
Atomic Red Team
В конце апреля Mitre ATT&CK обновили немного свой проект Atomic Red Team, добавив новые методы, техники и программное обеспечение.
Atomic Red Team - специальный проект, который помогает при проведении RedTeam кампаний. Основная его идея - создать независимые друг от друга небольшие тесты, которые помогут проверить информационную систему на наличие реакции на действия злоумышленников. Основная фишка - все тесты составлены на основе техник и методов, которые используют реальные киберпреступные группировки.
Алгоритм работы с тестами совершенно простой:
1.Выбирается тест (не всегда нужно проводить все тесты). Тесты составлены для различных платформ (linux, macos, windows).
2. Тест выполняется (в тестах максимально понятно описано, что должно детектироваться, какие группировки используют, что нужно запустить)
3. Смотрим реагирует ли система защиты на инцидент, логируются ли действия
4. При необходимости меняются настройки информационной системы для обнаружения инцидента и проверка проводится заново.
Подробная информация по Atomic Red Team представлена на https://attack.mitre.org/ и
https://atomicredteam.io
Тесты можно найти на GitHub:
https://github.com/redcanaryco/atomic-red-team
#redteam
В конце апреля Mitre ATT&CK обновили немного свой проект Atomic Red Team, добавив новые методы, техники и программное обеспечение.
Atomic Red Team - специальный проект, который помогает при проведении RedTeam кампаний. Основная его идея - создать независимые друг от друга небольшие тесты, которые помогут проверить информационную систему на наличие реакции на действия злоумышленников. Основная фишка - все тесты составлены на основе техник и методов, которые используют реальные киберпреступные группировки.
Алгоритм работы с тестами совершенно простой:
1.Выбирается тест (не всегда нужно проводить все тесты). Тесты составлены для различных платформ (linux, macos, windows).
2. Тест выполняется (в тестах максимально понятно описано, что должно детектироваться, какие группировки используют, что нужно запустить)
3. Смотрим реагирует ли система защиты на инцидент, логируются ли действия
4. При необходимости меняются настройки информационной системы для обнаружения инцидента и проверка проводится заново.
Подробная информация по Atomic Red Team представлена на https://attack.mitre.org/ и
https://atomicredteam.io
Тесты можно найти на GitHub:
https://github.com/redcanaryco/atomic-red-team
#redteam
Заметки на полях: немного больше, чем сервисные учётные записи
Проводя исследование информационной системы Заказчика, первое, на что обращаешь внимание - доменные администраторы или учётные записи, которые имеют более высокие привилегии.
Очень часто системные администраторы не думают о последствиях, когда добавляют служебную учётную запись в группу администраторов домена. Причем некоторым служебным учётным записям права доменного администратора и не требуются. Но проще добавить, чем разбираться.
Делимся с вами небольшим списком таких служебных учётных записей, которые оооочень часто являются администраторами домена. Отметим сразу - для них такие большие права не требуются.
- Backup, NetBackup, CommVault, Altiris - учётные записи для резервного копирования
- Microsoft AGPM - учётная запись для управления объектами группой политики
- Archive - учётная запись для архивирования Exchange
- антивирусы (McAfee, Trend Micro)
- Azure - используется для AzureAD Connect
- Exchange, Mail, ExAdmin - учётные записи для почтовых серверов
- VMware - сервисные учётные записи для виртуальной среды
- VPN - учётная запись, чтобы была возможность сбросить забытый или истекший пароль пользователя
- ITSM решения (например, service now) - учётные записи для оказания технической поддержки пользователям
- Microsoft System Center Management - учётная запись для деплоя различных приложений, патчей, обновлений настроек
Ещё раз обращаем ваше внимание, что настроить корректную работу данных учётных записей можно без наделения их правами доменного администратора.
Ну и если вы встретили данные учётки в домене при проведении пентеста - высока вероятность, что они будут обладать немного бОльшими привилегиями, чем это необходимо. И вы этим можете попробовать воспользоваться.
#redteam
Проводя исследование информационной системы Заказчика, первое, на что обращаешь внимание - доменные администраторы или учётные записи, которые имеют более высокие привилегии.
Очень часто системные администраторы не думают о последствиях, когда добавляют служебную учётную запись в группу администраторов домена. Причем некоторым служебным учётным записям права доменного администратора и не требуются. Но проще добавить, чем разбираться.
Делимся с вами небольшим списком таких служебных учётных записей, которые оооочень часто являются администраторами домена. Отметим сразу - для них такие большие права не требуются.
- Backup, NetBackup, CommVault, Altiris - учётные записи для резервного копирования
- Microsoft AGPM - учётная запись для управления объектами группой политики
- Archive - учётная запись для архивирования Exchange
- антивирусы (McAfee, Trend Micro)
- Azure - используется для AzureAD Connect
- Exchange, Mail, ExAdmin - учётные записи для почтовых серверов
- VMware - сервисные учётные записи для виртуальной среды
- VPN - учётная запись, чтобы была возможность сбросить забытый или истекший пароль пользователя
- ITSM решения (например, service now) - учётные записи для оказания технической поддержки пользователям
- Microsoft System Center Management - учётная запись для деплоя различных приложений, патчей, обновлений настроек
Ещё раз обращаем ваше внимание, что настроить корректную работу данных учётных записей можно без наделения их правами доменного администратора.
Ну и если вы встретили данные учётки в домене при проведении пентеста - высока вероятность, что они будут обладать немного бОльшими привилегиями, чем это необходимо. И вы этим можете попробовать воспользоваться.
#redteam
Рубрика "фишечки" от Microsoft: Office 365
Компания TrustedSec, также как и мы, фанатеют по исследованию того, какие возможности предоставляют облачные приложения от Microsoft. Недавно они опубликовали супер интересный пост про Office365.
Как мы уже говорили - многие компании переносят свои почтовые сервера в облако. Это удобно и своеобразное перекладывание ответственности за безопасность на дяденек из Microsoft.
Однако не все компании используют второй фактор для доступа к Microsoft Online Services (таким как почта, OneDrive, SharePoint и т.д.). Мы очень любим такие ситуации - это позволяет с минимальными усилиями получить большое количество информации.
Итак, основная проблема состоит в следующем:
- отсутствие второго фактора при аутентификации
- слабые пароли пользователей
- "фишечка" от Microsoft - возможность энумерейтить логины пользователей
Как с этим работать:
1. Ищем как формируются почты пользователей компании из открытых источников
2. Составляем словари или берём готовые и запускаем тулзу office365userenum
3. Полученный список валидных логинов запускаем на брут по словарю со слабыми паролями
4. Находим одну учётную запись, используя ее запускаем PowerShell скрипт o365recon для автоматического сбора информации. Мы рекомендуем собирать информацию не только с помощью скриптов, но и вручную. При проведении RedTeam ничто не заменит взгляда человека.
5. Полученный с предыдущего этапа список реальных почтовых адресов также запускаем на брут по словарю
6. Используем полученные данные для других сервисов или получения другой информации
Более подробно написано в статье. Очень рекомендуем ее почитать
https://www.trustedsec.com/2019/05/owning-o365-through-better-brute-forcing/
#redteam
Компания TrustedSec, также как и мы, фанатеют по исследованию того, какие возможности предоставляют облачные приложения от Microsoft. Недавно они опубликовали супер интересный пост про Office365.
Как мы уже говорили - многие компании переносят свои почтовые сервера в облако. Это удобно и своеобразное перекладывание ответственности за безопасность на дяденек из Microsoft.
Однако не все компании используют второй фактор для доступа к Microsoft Online Services (таким как почта, OneDrive, SharePoint и т.д.). Мы очень любим такие ситуации - это позволяет с минимальными усилиями получить большое количество информации.
Итак, основная проблема состоит в следующем:
- отсутствие второго фактора при аутентификации
- слабые пароли пользователей
- "фишечка" от Microsoft - возможность энумерейтить логины пользователей
Как с этим работать:
1. Ищем как формируются почты пользователей компании из открытых источников
2. Составляем словари или берём готовые и запускаем тулзу office365userenum
3. Полученный список валидных логинов запускаем на брут по словарю со слабыми паролями
4. Находим одну учётную запись, используя ее запускаем PowerShell скрипт o365recon для автоматического сбора информации. Мы рекомендуем собирать информацию не только с помощью скриптов, но и вручную. При проведении RedTeam ничто не заменит взгляда человека.
5. Полученный с предыдущего этапа список реальных почтовых адресов также запускаем на брут по словарю
6. Используем полученные данные для других сервисов или получения другой информации
Более подробно написано в статье. Очень рекомендуем ее почитать
https://www.trustedsec.com/2019/05/owning-o365-through-better-brute-forcing/
#redteam
TrustedSec
Cybersecurity Education from the Experts | TrustedSec Blog Posts
Learn more about how to safeguard your company through our educational blog posts on everything from updated tech to the newest scams infiltrating organizations today.