Tehdit aktörlerinin bir etki alanı denetleyicisi ve dolayısıyla bir Windows etki alanının üstesinden gelmesini sağlayan Petitpotam adlı yeni bir NTLM röle saldırısı keşfedilmiştir.
Birçok organizasyon, bir Windows etki alanındaki kullanıcıları, hizmetleri ve makineleri kimlik doğrulaması için kullanılabilecek bir ortak anahtar altyapısı (PKI) sunucusu olan Microsoft Active Directory sertifikası servislerini kullanır.
Geçmişte, araştırmacılar bir etki alanı denetleyicisini bir etki alanı denetleyicisini, daha sonra talebi bir etki alanının Active Directory sertifikası servislerine HTTP üzerinden iletecek olan kötü amaçlı bir NTLM rölesine karşı doğrulamak için bir yöntem keşfetti.
Sonuçta, saldırganın, bir etki alanı denetleyicisi de dahil olmak üzere, ağdaki herhangi bir cihazın kimliğini üstlenmelerine izin verecek bir Kerberos biletini (TGT) verilir.
Makineyi doğrulamayı uzak bir sunucuya doğru yapmaya zorlamak için, bir saldırganın MS-RPRN yazdırma API'sinin RPCremotefindFirstprinterchangenotificationing fonksiyonunu kullanabilir.
"Microsoft'un yazdırma biriktiricisi, yazdırma işlerini ve yazdırma ile ilgili diğer çeşitli TAK'leri kullanan bir hizmettir. Bir etki alanı kullanıcısı / bilgisayarını kontrol eden bir saldırgan, belirli bir RPC çağrısıyla, çalıştıran bir hedefin biriktirici servisini tetikleyebilir ve bir Saldırganın Hedefi, "Hacker.Recipes'teki bir blog yazısı açıklar.
"Bu kusur, tüm Windows ortamlarında varsayılan olarak" düzeltme "ve etkinleştirilmiştir."
Bu saldırı başarılı olursa, saldırgan etki alanı denetleyicisini devralabilir ve Windows etki alanını etkin bir şekilde ele geçirdikleri herhangi bir komutu gerçekleştirebilir.
Bu saldırı açıklandığı için birçok kuruluş, saldırı vektörünü engellemek için MS-RPRN'yi engelledi.
Bu hafta, Fransız Güvenlik Araştırmacısı Gilles Lionel, AKA Topotam, MS-RPRN API'sine dayanmayan ancak MS-EFSRPC API'nin EFSRPCOPENFileraw işlevini kullanan bir NTLM röle saldırısı yapan 'Petitpotam' adlı yeni bir teknik açıkladı.
MS-EFSRPC, Microsoft'un "uzaktan ve bir ağ üzerinden erişilen şifrelenmiş verilerdeki bakım ve yönetim işlemleri" yapmak için kullanılan Microsoft'un şifreleme dosyası sistemi uzak protokolüdür.
Herkese selam, MS-RPRN, makine kimlik doğrulamasını zorlayacak harika ama hizmet genellikle çoğu orgz üzerindeki yöneticiler tarafından engellidir. İşte MS-EFSRPC aracılığıyla makine hesabı yazılımını ortaya çıkarmak için kullandığımız bir başka yoldur. Zevk almak!! :) https://t.co/agis4f6yt8
Lionel, bir etki alanı denetleyicisini MS-EFSRPC API'sini kullanarak bir saldırganın kontrolü altında bir uzak NTLM'ye karşı kimlik doğrulaması için kullanılabilen Github'daki Petitpotam tekniği için bir kavram kanıtı verdi.
Yeni röle saldırı yöntemi ile ilgili BleepingComputer ile bir konuşmada Lionel, bunu kırılganlık olarak görmediğini ancak meşru bir fonksiyonun kötüye kullanıldığını belirtti.
"Gözlerimde, bu güvenlik açığı değil, meşru bir fonksiyonun kötüye kullanılmasıdır. Makine hesabını, örneğin, yazıcıbug'da gibi kimlik doğrulaması için kullanmamalı fonksiyon", "
Domain denetleyicisini tam olarak ele alınan bir HTTP Sertifika Kayıt Sunucusuna SMB Kimlik Doğrulamaya Röletme SMB Kimlik Doğrulamasına ek olarak, Lionel diğer saldırılar için kullanılabileceğini söyledi.
Bu ilave saldırılar, "NTLMV1 düşürme ve bu makine hesabının yerel yönetici olduğu bilgisayarlarda (SCCM, Exchange Server, örneğin bu durumda) bilgisayarlarda makine hesabı içerir.
Araştırmacı, bu tekniği azaltmanın tek yolunun, NTLM kimlik doğrulamasını devre dışı bırakmak veya SMB imzalama, LDAP imzası ve kanal bağlanması gibi korumaları etkinleştirmektir.
Petitpotam saldırısını test eden Güvenlik Araştırması ve Mimikatz Yaratıcısı Benjamin Delpy, aşağıdaki Azaltmalar'ı da önerdi:
"Peki," düzeltmek "için, bazı seçenekler:
Ne yazık ki, EFSRPCOPENFileraw'u kimlik doğrulama isteklerini röletlemek için kullanılmasından hiçbir şekilde devre dışı bırakılmamıştır.
Lionel, EFS hizmetini durdurmanın tekniğin sömürülmesini engellemediğini söyledi.
Microsoft, Petit Patam'da bir danışma ve NTLM röle saldırılarını nasıl azaltacağınızı paylaştı.
Petitpotam'ın piyasaya sürülmesinden bu yana, güvenlik araştırmacıları POC'u ve etkinliğini test etmek için hızlı olmuştur.
"Sonunda test etmeyi bitirdi, oldukça acımasız! Tam reklam devralmasına ağ erişimi ... NTLM rölesinin PKI ESC8 üzerindeki etkisini gerçekten küçümsemedim Petitpotam'lı Combo," Tweeted Güvenlik Araştırmacısı Rémi Escourrou.
"Aslında, Petitpotam'ı (şu anki bilgime) engellemenin bir yolu yok, ancak NTLM rölesinden kaçınmak için PKI'nin HTTP servisini sertleştirebilirsiniz" dedi.
Delpy ayrıca, tehdit aktörlerinin petitpotam saldırısını nasıl kötüye kullanabileceğini gösteren aşağıdaki videoyu da paylaştı.
Güncelleme 7/24/21 10:00 AM EST: Benjamin Delpy'den daha fazla azaltma eklendi.
Güncelleme 7/24/21 16:15 EST: Petit Patence Saldırısı için Microsoft Güvenlik Danışmanına bağlantı eklendi.
Lockbit Ransomware şimdi Grup İlkeleri Kullanarak Windows Etki Alanlarını Şifreler
Genel Windows PrintNightMare 0 günlük Exploit etki alanı devralınmasına izin verir
Kimlik için Microsoft Defender şimdi Zerologon saldırılarını algılar
Microsoft 365, Hacked Active Directory Hesaplarını Kilitlemeye İzin Vermesi
CISA: Yazdırma için kullanılmayan sunucularda Windows yazdırma biriktiricisini devre dışı bırak
Kaynak: Bleeping Computer