Abbiamo parlato recentemente di attack kill chain e lateral movement (Yooda | Blog | Attack Kill Chain); oggi vogliamo mostrare una tecnica chiamata “pass the hash”, utilizzata per conquistare ulteriori posizioni nell’ambiente di un cliente, dopo la compromissione di una prima workstation.
Il presupposto è una sorta di loose administration: l’amministratore di sistema e il CISO non prendono tutte le precauzioni necessarie, nè utilizzano le risorse che sono disponibili nativamente in Windows 10: stiamo pensando specificatamente a Microsoft Defender for Identity e Virtualization Based Security che introdurrebbero ulteriori layer di protezione non facilmente bypassabili da un attaccante (Credential Guard) o sarebbero in grado di mitigare la situazione grazie ad alert e view in tempo reale (Microsoft Defender for Identity).
La situazione migliora con Windows 11, che nasce con un forte approccio alla sicurezza, ma di questo parleremo un’altra volta.
Nel video mostriamo come sia possibile, una volta compromessa una prima workstation, fare privilege escalation tramite una tecnica chiamata “pass the hash”.
Riassumo di seguito gli steps necessari, buona visione!
- Compromissione di una workstation; questa parte non viene mostrata. Immaginiamo che la compromissione possa avvenire sfruttando uno Zero Day (Attack Surface Reduction sarebbe importante per mitigare questi tipi di attacco)
- Reconnaissance, ad esempio tramite query SAM-R per individuare gli utenti del dominio, i gruppi sensibili ed i relativi membri, etc.
- Utilizzo di Mimikatz per ottenere ulteriori credenziali (ricordate le derived credentials contenute in LSASS?)
- sekurlsa::logonpasswords
- utilizzo delle credenziali così ottenute in un attacco PTH
- sekurlsa::pth /user:admin /domain:MyDomain /ntlm:528ecw3f7dr03655g8d45f0035ak42
Don't stop there, read more
Lezioni da un attacco informatico: rafforzare la sicurezza digitale – 1
Questo attacco, perpetrato attraverso tecniche di spraying password, ha mirato a compromettere account di test legacy, evidenziando la criticità delle utenze non protette da MFA (Multi-Factor Authentication)
Lezioni da un attacco informatico: strategie di difesa – 2
Strategie di difesa contro il cyber spionaggio: l’importanza di una cultura della sicurezza informatica che permei ogni livello dell’organizzazione, dimostrando che la lotta contro le minacce digitali richiede vigilanza, innovazione e collaborazione
Active Directory Tiering
Perchè Active Directory tiering? Active Directory costituisce tuttora lo scrigno dove vengono depositate le chiavi del regno; in AD risiedono le identità degli utenti e le identità dei Domain Admins. Controllare active directory permette di controllare l’accesso all’insieme delle risorse aziendali e di conseguenza ai dati aziendali; per questo è necessario “securing active directory”. E’ […]
Enter the digital universe
With Yooda you can lead your company towards a new mindset that will change everyone's experience for the better and generate new value for you.