Az - Mouvement Latéral (Cloud - Sur Site)

Reading time: 4 minutes

Az - Mouvement Latéral (Cloud - Sur Site)

Machines sur site connectées au cloud

Il existe différentes manières pour une machine d'être connectée au cloud :

Azure AD joint

Joint au lieu de travail

Joint hybride

Joint au lieu de travail sur AADJ ou hybride

Jetons et limitations

Dans Azure AD, il existe différents types de jetons avec des limitations spécifiques :

• Jetons d'accès : Utilisés pour accéder aux API et aux ressources comme Microsoft Graph. Ils sont liés à un client et à une ressource spécifiques.
• Jetons de rafraîchissement : Émis aux applications pour obtenir de nouveaux jetons d'accès. Ils ne peuvent être utilisés que par l'application à laquelle ils ont été émis ou un groupe d'applications.
• Jetons de rafraîchissement principaux (PRT) : Utilisés pour l'authentification unique sur les appareils joints à Azure AD, enregistrés ou joints de manière hybride. Ils peuvent être utilisés dans les flux de connexion par navigateur et pour se connecter à des applications mobiles et de bureau sur l'appareil.
• Clés Windows Hello for Business (WHFB) : Utilisées pour l'authentification sans mot de passe. Elles sont utilisées pour obtenir des jetons de rafraîchissement principaux.

Le type de jeton le plus intéressant est le jeton de rafraîchissement principal (PRT).

Az - Primary Refresh Token (PRT)

Techniques de Pivotement

Depuis la machine compromise vers le cloud :

• Pass the Cookie : Voler les cookies Azure du navigateur et les utiliser pour se connecter
• Dump processes access tokens : Dump la mémoire des processus locaux synchronisés avec le cloud (comme excel, Teams...) et trouver des jetons d'accès en texte clair.
• Phishing Primary Refresh Token: Phisher le PRT pour en abuser
• Pass the PRT : Voler le PRT de l'appareil pour accéder à Azure en l'usurpant.
• Pass the Certificate: Générer un certificat basé sur le PRT pour se connecter d'une machine à une autre

Depuis la compromission de AD vers la compromission du Cloud et depuis la compromission du Cloud vers la compromission de AD :

• Azure AD Connect
• Une autre façon de pivoter du cloud vers sur site est d'abuser d'Intune

Roadtx

Cet outil permet d'effectuer plusieurs actions comme enregistrer une machine dans Azure AD pour obtenir un PRT, et utiliser des PRT (légitimes ou volés) pour accéder à des ressources de plusieurs manières différentes. Ce ne sont pas des attaques directes, mais cela facilite l'utilisation des PRT pour accéder à des ressources de différentes manières. Trouvez plus d'infos sur https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/

Références

• https://dirkjanm.io/phishing-for-microsoft-entra-primary-refresh-tokens/