Az - Lateral Movement (Cloud - On-Prem)

Reading time: 4 minutes

Az - Lateral Movement (Cloud - On-Prem)

On-Prem mašine povezane sa cloud-om

Postoje različiti načini na koje mašina može biti povezana sa cloud-om:

Azure AD pridružena

Pridružena radnom mestu

Hibridno pridružena

Pridružena radnom mestu na AADJ ili Hibridno

Tokeni i ograničenja

U Azure AD, postoje različite vrste tokena sa specifičnim ograničenjima:

• Access tokens: Koriste se za pristup API-ima i resursima kao što je Microsoft Graph. Povezani su sa specifičnim klijentom i resursom.
• Refresh tokens: Izdaju se aplikacijama za dobijanje novih access tokena. Mogu ih koristiti samo aplikacije kojima su dodeljeni ili grupa aplikacija.
• Primary Refresh Tokens (PRT): Koriste se za Single Sign-On na Azure AD pridruženim, registrovanim ili hibridno pridruženim uređajima. Mogu se koristiti u tokovima prijavljivanja u pretraživaču i za prijavljivanje u mobilne i desktop aplikacije na uređaju.
• Windows Hello for Business keys (WHFB): Koriste se za autentifikaciju bez lozinke. Koriste se za dobijanje Primary Refresh Tokens.

Najzanimljivija vrsta tokena je Primary Refresh Token (PRT).

Az - Primary Refresh Token (PRT)

Tehnike pivotiranja

Od kompromitovane mašine do clouda:

• Pass the Cookie: Ukrao Azure kolačiće iz pretraživača i koristi ih za prijavu
• Dump processes access tokens: Izvuci memoriju lokalnih procesa sinhronizovanih sa cloud-om (kao što su excel, Teams...) i pronađi access tokene u čistom tekstu.
• Phishing Primary Refresh Token: Phishuj PRT da bi ga zloupotrebio
• Pass the PRT: Ukrao PRT uređaja da bi pristupio Azure-u pretvarajući se u njega.
• Pass the Certificate: Generiši sertifikat na osnovu PRT-a da bi se prijavio sa jedne mašine na drugu

Od kompromitovanja AD do kompromitovanja Clouda i od kompromitovanja Clouda do kompromitovanja AD:

• Azure AD Connect
• Drugi način za pivotiranje od clouda do On-Prem je zloupotreba Intune-a

Roadtx

Ovaj alat omogućava izvođenje nekoliko akcija kao što je registracija mašine u Azure AD da bi se dobio PRT, i korišćenje PRT-ova (legitimnih ili ukradenih) za pristup resursima na nekoliko različitih načina. Ovo nisu direktni napadi, ali olakšava korišćenje PRT-ova za pristup resursima na različite načine. Pronađite više informacija na https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/

Reference

• https://dirkjanm.io/phishing-for-microsoft-entra-primary-refresh-tokens/