Vectra Research ha recentemente scoperto un metodo per sfruttare le funzionalità recentemente rilasciate da Microsoft per effettuare spostamenti laterali verso un altro tenant Microsoft.
Sintesi
- Vectra Research ha identificato un nuovo vettore di attacco contro Azure Active Directory che consente un movimento laterale verso altri tenant Microsoft.
- Vectra dimostra anche la tecnica per mantenere l'accesso persistente in un tenant Azure, descritta per la prima volta qui.
- La funzionalità di base per l'esecuzione di questo vettore di attacco è presente in ogni implementazione Microsoft.
- Questo vettore di attacco segue vettori di attacco simili già noti, come l'abuso della federazione di domini o l'aggiunta di un'azienda partner, che richiedono un monitoraggio attivo per il rilevamento e la risposta.
- Vectra ha pubblicato un POC per la verifica della sicurezza nell'ambito del MAAD Attack Framework open-source.
- Vectra ha convalidato che i rilevamenti AI di Vectra forniscono la copertura per questa operazione prima della documentazione delle tecniche in questo rapporto.
Introduzione
Gli aggressori continuano a prendere di mira le identità Microsoft per accedere alle applicazioni Microsoft connesse e alle applicazioni SaaS federate. Inoltre, gli aggressori continuano a portare avanti i loro attacchi in questi ambienti, non sfruttando le vulnerabilità, ma abusando delle funzionalità native di Microsoft per raggiungere il loro obiettivo. Il gruppo di aggressori Nobelium, collegato agli attacchi SolarWinds, è stato documentato mentre utilizzava funzionalità native come la creazione di trust federati. [4] per consentire l'accesso persistente a un tenant Microsoft.
In questo post dimostreremo una funzionalità nativa aggiuntiva che, se sfruttata da un utente malintenzionato, consente l'accesso persistente a un tenant del cloud Microsoft e la possibilità di movimento laterale verso un altro tenant. Questo vettore di attacco consente a un utente malintenzionato che opera in un tenant compromesso di abusare di una configurazione CTS (Cross-Tenant Synchronization) errata e di ottenere l'accesso ad altri tenant connessi o di distribuire una configurazione CTS errata per mantenere la persistenza all'interno del tenant.
Non abbiamo osservato l'uso di questa tecnica in natura, ma dato l'abuso storico di funzionalità simili, presentiamo i dettagli per consentire ai difensori di capire come si presenterebbe l'attacco e come monitorarne l'esecuzione. Inoltre, questo blog esaminerà il modo in cui i clienti di Vectra hanno attualmente una copertura - e l'hanno avuta fin dal primo giorno della funzionalità rilasciata per questa tecnica grazie ai nostri rilevamenti guidati dall'intelligenza artificiale e a Vectra Attack Signal IntelligenceIntelligenceTM.
Sincronizzazione tra i tenant
CTS è una nuova funzionalità di Microsoft che consente alle organizzazioni di sincronizzare utenti e gruppi da altri tenant di origine e di concedere loro l'accesso alle risorse (applicazioni Microsoft e non) nel tenant di destinazione. Le funzionalità CTS si basano sulle precedenti configurazioni di fiducia B2B, consentendo una collaborazione automatizzata e senza interruzioni tra i diversi tenant, ed è una funzionalità che molte organizzazioni cercheranno di adottare. [2][3]
Il CTS è una funzionalità potente e utile per organizzazioni come i conglomerati aziendali con più tenant tra le società affiliate, ma apre anche potenziali attacchi di ricognizione, movimento laterale e persistenza da parte di malintenzionati se non configurato e gestito correttamente. Discuteremo i rischi potenziali e i percorsi di attacco che gli avversari possono sfruttare il CTS per abusare delle relazioni di fiducia da un tenant potenzialmente compromesso a qualsiasi altro tenant configurato con una relazione di fiducia CTS.
- Il CTS consente di sincronizzare (aggiungere) gli utenti di un altro tenant in un tenant di destinazione.
- Una configurazione CTS non ben configurata può essere sfruttata per spostarsi lateralmente da un tenant compromesso a un altro tenant della stessa organizzazione o di un'altra.
- Una configurazione CTS non autorizzata può essere distribuita e utilizzata come tecnica backdoor per mantenere l'accesso da un tenant Microsoft controllato da un avversario esterno.
Presunto compromesso!
Le tecniche di sfruttamento seguono la filosofia dell'Assumed Compromise. Le tecniche utilizzate in questi exploit presuppongono che un'identità sia stata compromessa in un ambiente cloud Microsoft. In un contesto reale, ciò potrebbe derivare da una compromissione del browser su un endpoint gestito da Intune con un'identità gestita da Microsoft.
Terminologia
Il facilitatore
Cose importanti da sapere sulla configurazione del CTS:
L'attacco
Le tecniche di attacco descritte in questo blog richiedono determinate licenze e la compromissione di un account privilegiato o l'escalation dei privilegi a determinati ruoli nel tenant compromesso. Un ruolo di amministratore globale può eseguire tutte queste azioni in un tenant. [2]
Tecnica 1: Movimento laterale
Un utente malintenzionato che opera in un ambiente compromesso può sfruttare un tenant con configurazione CTS esistente per spostarsi lateralmente da un tenant a un altro tenant connesso.
- L'attaccante accede al tenant compromesso.
- L'attaccante effettua una ricognizione dell'ambiente per identificare i tenant target connessi tramite i criteri di Cross Tenant Access implementati.
- L'attaccante esamina la configurazione del criterio Cross Tenant Access per ogni tenant connesso per identificarne uno con "Outbound Sync" abilitato. Il criterio CTA con la sincronizzazione in uscita abilitata consente la sincronizzazione di utenti e gruppi dal tenant corrente al tenant di destinazione.
- Dall'analisi della configurazione dei criteri CTA, l'attaccante trova un tenant connesso con la sincronizzazione in uscita abilitata e lo imposta come obiettivo per il movimento laterale.
- Dopo aver identificato l'applicazione di sincronizzazione CTS, l'aggressore può modificarne la configurazione per aggiungere l'account utente attualmente compromesso all'ambito di sincronizzazione dell'applicazione. Questo sincronizzerà l'account utente compromesso nel tenant di destinazione e garantirà all'attaccante l'accesso al tenant di destinazione utilizzando le stesse credenziali inizialmente compromesse.
- Se non ci sono condizioni esplicite di CTA in entrata che bloccano la sincronizzazione nel tenant di destinazione, l'account compromesso verrà sincronizzato nel tenant di destinazione.
- L'attaccante si sposta lateralmente nel tenant di destinazione utilizzando lo stesso account inizialmente compromesso.
Tecnica 2: Backdoor
Un aggressore che opera in un tenant compromesso può implementare una configurazione di Cross Tenant Access non autorizzata per mantenere l'accesso persistente.
- L'attaccante accede al tenant compromesso.
- L'aggressore può ora sincronizzare nuovi utenti dal proprio tenant tramite push al tenant vittima di destinazione in qualsiasi momento futuro. Questo garantisce all'attaccante l'accesso futuro alle risorse del tenant di destinazione utilizzando l'account controllato dall'esterno.
Difesa
Clienti Vectra:
L'attuale portafoglio di allarmi di Vectra è in grado di rilevare questa attività anche prima di comprendere le implicazioni operative e le azioni previste che si verificherebbero prima di questo evento.
Il fatto che questa tecnica non sia sfruttata da una vulnerabilità reale la rende più difficile da prevenire una volta che un avversario si trova nell'ambiente con privilegi sufficienti. Tuttavia, i rilevamenti guidati dall'intelligenza artificiale di Vectra sono stati progettati per individuare questo tipo di scenari di abuso dei privilegi senza dover fare affidamento su firme o elenchi di operazioni note.
Azure AD Privilege Operation Anomaly di Vectra monitora il valore sottostante di ogni operazione nell'ambiente e di ogni utente. L'intelligenza artificiale crea continuamente una linea di base dei tipi di azioni che dovrebbero verificarsi nell'ambiente e identifica i casi di abuso dei privilegi cloud. Concentrandosi sul comportamento dell'abuso di privilegi, Vectra è in grado di identificare tecniche emergenti come quella qui documentata.
Le azioni dell'attaccante che si verificano prima dell'attacco, come l'accesso all'account a seguito di un furto di token o altre forme di compromissione dell'account, verrebbero segnalate dai rilevamenti di Vectra come Azure AD Unusual Scripting Engine Usage, Azure AD Suspicious Sign-on o Azure AD Suspicious OAuth Application.
Test di sicurezza del Cloud Microsoft
Testare regolarmente ed efficacemente gli ambienti è il modo migliore per essere sicuri della capacità di difesa dai cyberattacchi. MAAD-Attack Framework è uno strumento di emulazione degli attacchi open-source che combina le tecniche di attacco più comunemente utilizzate e consente ai team di sicurezza di emularle rapidamente ed efficacemente nei loro ambienti tramite un semplice terminale interattivo. Consultate MAAD-AF su GitHub o scopritene di più qui.
I team di sicurezza possono utilizzare il modulo MAAD-AF "Exploit Cross Tenant Synchronization" per emulare e testare le tecniche di sfruttamento CTS nel proprio ambiente.
Riferimenti:
- https://learn.microsoft.com/en-us/azure/active-directory/external-identities/cross-tenant-access-overview
- https://learn.microsoft.com/en-us/azure/active-directory/multi-tenant-organizations/cross-tenant-synchronization-overview
- https://invictus-ir.medium.com/incident-response-in-azure-c3830e7783af
- https://attack.mitre.org/techniques/T1484/002