Az - Laterale Bewegung (Cloud - On-Prem)

Reading time: 4 minutes

Az - Laterale Bewegung (Cloud - On-Prem)

On-Prem-Maschinen, die mit der Cloud verbunden sind

Es gibt verschiedene Möglichkeiten, wie eine Maschine mit der Cloud verbunden sein kann:

Azure AD verbunden

Arbeitsplatz verbunden

Hybrid verbunden

Arbeitsplatz verbunden auf AADJ oder Hybrid

Tokens und Einschränkungen

In Azure AD gibt es verschiedene Arten von Tokens mit spezifischen Einschränkungen:

• Zugriffstokens: Werden verwendet, um auf APIs und Ressourcen wie den Microsoft Graph zuzugreifen. Sie sind an einen bestimmten Client und eine Ressource gebunden.
• Aktualisierungstokens: Werden an Anwendungen ausgegeben, um neue Zugriffstokens zu erhalten. Sie können nur von der Anwendung verwendet werden, an die sie ausgegeben wurden, oder von einer Gruppe von Anwendungen.
• Primäre Aktualisierungstokens (PRT): Werden für die einmalige Anmeldung auf Azure AD verbundenen, registrierten oder hybrid verbundenen Geräten verwendet. Sie können in Anmeldeflüssen im Browser und für die Anmeldung bei mobilen und Desktop-Anwendungen auf dem Gerät verwendet werden.
• Windows Hello for Business-Schlüssel (WHFB): Werden für passwortlose Authentifizierung verwendet. Sie werden verwendet, um primäre Aktualisierungstokens zu erhalten.

Die interessanteste Art von Token ist das primäre Aktualisierungstoken (PRT).

Az - Primary Refresh Token (PRT)

Pivoting-Techniken

Von der kompromittierten Maschine zur Cloud:

• Pass the Cookie: Azure-Cookies aus dem Browser stehlen und verwenden, um sich anzumelden
• Dump processes access tokens: Den Speicher lokaler Prozesse, die mit der Cloud synchronisiert sind (wie Excel, Teams...), dumpen und Zugriffstokens im Klartext finden.
• Phishing Primary Refresh Token: PRT phishen, um es auszunutzen
• Pass the PRT: Das Geräte-PRT stehlen, um Azure zu impersonieren.
• Pass the Certificate: Ein Zertifikat basierend auf dem PRT generieren, um sich von einer Maschine zur anderen anzumelden

Von der Kompromittierung AD zur Kompromittierung der Cloud und von der Kompromittierung der Cloud zur Kompromittierung AD:

• Azure AD Connect
• Ein weiterer Weg, um von der Cloud zu On-Prem zu pivotieren, ist Intune auszunutzen

Roadtx

Dieses Tool ermöglicht es, mehrere Aktionen durchzuführen, wie z.B. eine Maschine in Azure AD zu registrieren, um ein PRT zu erhalten, und PRTs (echt oder gestohlen) zu verwenden, um auf Ressourcen auf verschiedene Weise zuzugreifen. Dies sind keine direkten Angriffe, aber es erleichtert die Verwendung von PRTs, um auf Ressourcen auf verschiedene Weise zuzugreifen. Weitere Informationen finden Sie unter https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/

Referenzen

• https://dirkjanm.io/phishing-for-microsoft-entra-primary-refresh-tokens/