Tecnica di attacco
Elevazione dei privilegi
L'escalation dei privilegi è un metodo comunemente utilizzato dagli hacker odierni per causare violazioni dei dati con conseguenze catastrofiche. Ecco cosa occorre sapere su questa tecnica di attacco.
Definizione
Che cos'è l'escalation dei privilegi?
Privilege escalation is a technique attackers use to gain unauthorized access to privileged accounts — ones that can be used to deploy malware and conduct other malicious activities. It typically starts when an attacker gains access to the corporate network by taking over a standard user account. Once inside, they work their way up to admin, superuser, and other high-level hosts and accounts.
Tipi di escalation dei privilegi
Elevazione dei privilegi verticale (Privilege Elevation)
L'escalation verticale dei privilegi o l'elevazione dei privilegi si verifica quando un aggressore passa da un livello di privilegi inferiore a uno superiore. Ad esempio, un utente normale che ottiene diritti amministrativi. Questa tecnica garantisce l'accesso a funzioni di sistema protette e dati sensibili, aumentando il potenziale danno.
Elevazione dei privilegi orizzontale
L'escalation dei privilegi orizzontale comporta l'accesso a privilegi o risorse di livello pari a quelli di un altro utente con livelli di accesso simili. Questa tecnica consente agli aggressori di accedere o manipolare i dati o i servizi di un altro utente senza autorizzazione.
Come funziona
Come funziona l'escalation dei privilegi?
Evasione dei privilegi verticali
Ciò si verifica quando un aggressore con diritti di accesso limitati, come un utente normale, sfrutta le vulnerabilità per ottenere privilegi di livello superiore, come l'accesso amministrativo o root. Si tratta della forma più comune di escalation dei privilegi e può comportare rischi significativi per la sicurezza.
Elevazione dei privilegi orizzontale
Inquesto caso, un aggressore si muove lateralmente all'interno di un sistema, ottenendo l'accesso alle risorse o agli account di altri utenti che dispongono di diritti di accesso simili. Sebbene l'escalation orizzontale non comporti l'aumento dei privilegi, consente agli aggressori di sfruttare altri account o dati.
In che modo gli aggressori procedono per aumentare i propri privilegi?
1. Acquisizione dell'accesso iniziale
Gli aggressori iniziano ottenendo l'accesso a un sistema con privilegi utente di base. Ciò avviene attraverso metodi quali phishing, in cui comunicazioni ingannevoli inducono gli utenti a rivelare le proprie credenziali; lo sfruttamento di vulnerabilità in software o sistemi che non sono stati adeguatamente protetti; oppure l'utilizzo di credenziali predefinite che non sono mai state modificate dopo l'installazione. L'obiettivo principale in questa fase è quello di stabilire un punto d'appoggio all'interno del sistema, creando una piattaforma da cui poter lanciare ulteriori attacchi.
2. Enumerazione e ricognizione del sistema
Una volta entrati nel sistema, gli aggressori procedono all'enumerazione e alla ricognizione del sistema per raccogliere informazioni dettagliate sull'ambiente. Raccolgono dati sull'architettura del sistema, sulle versioni del sistema operativo, sulle applicazioni installate, sui servizi in esecuzione e sugli account utente esistenti. La raccolta di queste informazioni è facilitata da strumenti quali utilità a riga di comando, script di sistema e strumenti di scansione della rete, che aiutano a mappare la struttura del sistema e a identificare potenziali obiettivi da sfruttare.
3. Identificazione delle vulnerabilità
Grazie alla loro conoscenza approfondita del sistema, gli aggressori procedono all'identificazione delle vulnerabilità che possono essere sfruttate per aumentare i propri privilegi. Cercano vulnerabilità software, come bug non corretti o difetti con exploit noti. Vengono ricercate anche debolezze di configurazione, inclusi servizi configurati in modo errato, autorizzazioni di file non sicure che consentono accessi non autorizzati o impostazioni predefinite che non sono state protette adeguatamente. Inoltre, valutano i problemi relativi alle credenziali, come password deboli facili da indovinare o decifrare, credenziali riutilizzate su più sistemi o token di autenticazione esposti che possono essere intercettati.
4. Tecniche di sfruttamento
To take advantage of the identified vulnerabilities, attackers employ various exploitation techniques. When exploiting software vulnerabilities, they may perform buffer overflows by injecting code into a program through overrunning a buffer's boundary, or conduct code injection by inserting malicious code into trusted applications. Abusing misconfigurations is another tactic; attackers might exploit insecure file permissions to access or modify files due to improper permission settings, or leverage SUID/SGID abuse on Unix/Linux systems by exploiting files that execute with higher privileges.
Credential theft is a critical method used to gain unauthorized access. Attackers might engage in password hash dumping, extracting password hashes from system memory or files to crack them offline. Keylogging is another technique, where they record keystrokes to capture passwords and other sensitive information. To bypass security controls, attackers may manipulate tokens, using stolen tokens to impersonate higher-privileged users. On Windows systems, they might perform DLL hijacking by replacing legitimate Dynamic Link Library (DLL) files with malicious ones to execute code with elevated privileges. Exploiting weaknesses in User Account Control (UAC) allows them to perform administrative tasks without prompting the user, effectively bypassing a key security feature.
5. Ottenere privilegi elevati
Armed with these techniques, attackers aim to gain elevated privileges within the system. They execute exploits by running specialized scripts or tools designed to take advantage of the identified vulnerabilities. Deploying privilege escalation payloads involves introducing malware specifically crafted to escalate privileges upon execution. Service exploitation is another avenue, where attackers target services that are running with higher privileges, manipulating them to execute arbitrary code that grants them increased access rights.
6. Attività successive allo sfruttamento
Dopo aver ottenuto l'escalation dei privilegi, gli aggressori intraprendono attività post-exploit per consolidare il proprio controllo e prepararsi a ulteriori operazioni. Per mantenere l'accesso, possono creare backdoor installando metodi persistenti che consentono loro di rientrare nel sistema anche dopo il riavvio o gli aggiornamenti di sicurezza. L'aggiunta di nuovi account utente con privilegi amministrativi garantisce loro un accesso continuo senza dover fare affidamento sull'exploit iniziale.
Covering their tracks is essential to avoid detection. Attackers manipulate logs by deleting or altering event records to hide evidence of their activities. They may also modify file timestamps to prevent forensic analysts from identifying anomalies during investigations. With elevated privileges, attackers can perform lateral movement within the network. Network propagation involves using their access to infiltrate other systems connected to the network, expanding their reach and potential impact. They leverage obtained credentials to infiltrate additional resources, a process known as credential reuse, which allows them to compromise more accounts and systems without triggering immediate suspicion.
Perché gli aggressori lo utilizzano
Perché gli aggressori utilizzano l'escalation dei privilegi?
Gli aggressori utilizzano tecniche di escalation dei privilegi per ottenere accesso non autorizzato a livelli più elevati di autorizzazioni all'interno di un sistema o di una rete. Elevando i propri privilegi, gli aggressori possono eseguire azioni che normalmente sono limitate, come accedere a dati sensibili, installare malware, alterare le configurazioni di sistema o assumere il controllo completo di un sistema. Comprendere perché gli aggressori utilizzano queste tecniche è fondamentale per implementare misure di sicurezza efficaci.
Di seguito sono riportati i motivi principali e i metodi alla base dell'uso dell'escalation dei privilegi da parte degli aggressori:
Accesso ai dati sensibili
- Confidential Information: Elevated privileges allow attackers to access sensitive files, databases, and communications that are restricted to regular users.
- Esfiltrazione dei dati: gli aggressori possono rubare dati preziosi quali identità personali, documenti finanziari o informazioni aziendali riservate.
Controllo del sistema e persistenza
- Mantenimento dell'accesso: con privilegi più elevati, gli aggressori possono creare backdoor, nuovi account utente o modificare i meccanismi di autenticazione per mantenere l'accesso a lungo termine.
- Disattivazione delle misure di sicurezza: possono disattivare software antivirus, firewall o sistemi di rilevamento delle intrusioni per evitare di essere individuati.
Movimento laterale all'interno delle reti
- Ampliamento della portata: l'escalation dei privilegi consente agli aggressori di spostarsi tra diversi sistemi e segmenti di rete, aumentando la portata del loro attacco.
- Compromissione di sistemi aggiuntivi: l'accesso alle credenziali amministrative consente agli aggressori di infiltrarsi in altri dispositivi e server all'interno della rete.
Esecuzione di attacchi avanzati
- Installazione Malware ransomware: spesso sono necessari privilegi elevati per installare o eseguire software dannoso in grado di crittografare i dati o interrompere le operazioni.
- Manipolazione del sistema: gli aggressori possono alterare le configurazioni, le pianificazioni o i servizi del sistema a proprio vantaggio.
Elusione delle restrizioni di sicurezza
- Autorizzazioni di override: i privilegi elevati consentono agli aggressori di aggirare le autorizzazioni del file system e i controlli di accesso.
- Accesso alle funzioni con restrizioni: possono eseguire azioni normalmente riservate agli amministratori, come la modifica dei registri di controllo.
Raccolta di credenziali
- Raccolta di password e token: gli aggressori possono estrarre le credenziali dalla memoria, dai file di configurazione o dai portachiavi.
- Estrazione dei ticket Kerberos: possono utilizzare tecniche come Pass-the-Hash o Kerberoasting per ottenere i token di autenticazione.
Interruzione e sabotaggio
- Denial of Service (DoS): gli aggressori possono interrompere servizi critici o sovraccaricare le risorse di sistema.
- Manipolazione o distruzione dei dati: possono alterare o cancellare i dati, causando problemi operativi o perdita di fiducia.
Guadagno finanziario
- Furto monetario: l'accesso ai sistemi finanziari consente agli aggressori di manipolare le transazioni o di deviare i fondi.
- Richieste di riscatto: possono crittografare i dati e richiedere un pagamento per ottenere le chiavi di decrittografia.
Coprire le tracce
- Manomissione dei log: con privilegi più elevati, gli aggressori possono cancellare o alterare i log per nascondere le loro attività.
- Disabilitazione degli strumenti di monitoraggio: possono arrestare o interferire con le soluzioni di monitoraggio della sicurezza.
Rilevamenti della piattaforma
Come rilevare attività correlate all'escalation dei privilegi
Most organizations use a combination of security measures to prevent privilege escalation attacks. Zero trust, identity and access management (IAM) and privileged access management (PAM) are all common examples.
But there’s a problem with these approaches: They all rely on a single point of entry. What’s more, most organizations have 3x more privileged accounts than employees, making it impossible to manage them all. And once access is granted, it can easily be manipulated.
To stay ahead of privilege escalation, continuous visibility is key. Constantly monitoring and analyzing account activity allows you to identify abuse in real time. And the only way to do it accurately is with AI.
È qui che entra in gioco il rilevamento e la risposta estesi alle minacce. Vectra AI decine di rilevamenti basati sull'intelligenza artificiale per identificare attività anomale relative ai privilegi su rete, identità e cloud pubblico. Questi rilevamenti non si concentrano sulle anomalie, ma piuttosto sui comportamenti effettivi degli aggressori. Dalle richieste insolite su AWS e Entra ID alle richieste di servizio sospette, ognuna di esse viene automaticamente correlata, analizzata, convalidata e smistata per mostrare ai difensori quando gli aggressori stanno tentando di utilizzare l'escalation dei privilegi.
