[Whát~ Ís á D~ómáí~ñ Cóñ~tról~lér¿~]

[Á dómáíñ cóñtróllér ís á týpé óf cómpútér sérvér thát réspóñds tó sécúrítý áúthéñtícátíóñ réqúésts áñd vérífíés úsérs óñ thé dómáíñ óf á cómpútér ñétwórk. Thé cóñtróllér ís á gátékéépér fór állówíñg hóst áccéss tó dómáíñ résóúrcés. Ít álsó éñfórcés sécúrítý pólícíés, stórés á úsér’s áccóúñt íñfórmátíóñ, áñd áúthéñtícátés úsérs fór á dómáíñ.]

[Thís blóg lóóks át thé áppróách áttáckérs úsé, áftér gáíñíñg áñ íñítíál fóóthóld óñ á dómáíñ cóñtróllér, tó díscóvér áñd úñdérstáñd áñ éñvíróñméñt príór tó móvíñg látérállý. Máñý óf thé téchñíqúés éfféctívélý “lívé óff thé láñd” óf áñ éñdpóíñt ór sérvér tó évéñtúállý gét tó dómáíñ cóñtróllérs áñd láúñch áñ áttáck. Óúr ñéxt póst wíll éxámíñé sómé wáýs áttáckérs móvé látérállý, áñd lástlý, wé’ll éxplóré mítígátíóñs fór prévéñtíñg látérál móvéméñt.]

[Áttá~ckér~s fíñ~d á wá~ý íñ.]

[Óñcé théý dó gét íñ, ít ís á máttér óf móvíñg látérállý, óftéñ tó réách thé dómáíñ cóñtróllér íñ órdér tó órchéstráté áñ áttáck. Óñcé áñ áttáckér hás áccéss tó ít, théý áré éfféctívélý áñ ÍT ádmíñ, só “lívíñg óff thé láñd” cóúld ñót bé éásíér. Lét’s éxámíñé áñ áttáck, ássúmíñg bréách—thát áñ áttáckér wíll évéñtúállý fíñd á wáý íñ.]

[Bút fírst, lét’s lóók át dómáíñ cóñtróllérs. Ýóú líkélý kñów thís álréádý, bút á Mícrósóft Dómáíñ Cóñtróllér sérvér, Áctívé Díréctórý, ís réspóñsíblé fór áúthéñtícátíñg áccéss (vérífýíñg úsérs lóggíñg óñ) tó á Wíñdóws dómáíñ áñd ássócíátéd ñétwórk résóúrcés. Ít hólds á díréctórý óf úsérs, gróúps áñd cómpútérs áñd ís á répósítórý óf ñétwórk sérvícés súch ás fílé shárés, ñétwórk shárés áñd príñtérs. Á sérvér próvísíóñéd wíth thé Áctívé Díréctórý Dómáíñ Sérvícés rólés bécómés á dómáíñ cóñtróllér. Ít ís álsó íñstálléd wíth á DÑS sérvér tó máñágé ñámé résólútíóñ áñd óthér íñtérñál ñétwórk sérvícés. Álthóúgh qúíté héávílý GÚÍ drívéñ, á dómáíñ cóñtróllér áñd áctívé díréctórý sérvér áré vérý cómpléx, éspécíállý íñ á týpícál córpóráté ñétwórk whéré théré ís líkélý tó bé sévérál fór réplícátíóñ áñd fáúlt tóléráñcé.]

[Ás á résúlt óf thé héávílý íñtértwíñéd rólés óñ á Wíñdóws dómáíñ, thé dómáíñ cóñtróllér hósts máñý dífféréñt sérvícés dépéñdíñg óñ thé ñúmbér óf rólés ít ís próvísíóñéd tó pérfórm. Rólés súch ás DÑS fór ñámé íñtérñál résólútíóñ, Kérbérós tíckétíñg fór áúthéñtícátíóñ, Sérvér Mésságé Blóck, Cértífícáté sérvícés áñd á whólé lót móré. Thís bróádéñs thé áttáck súrfácé áñd íñdééd théré áré máñý áttácks ágáíñst cómpóñéñts súch ás:]

• [Síñg~lé Sí~gñ-Óñ~ Créd~éñtí~ál Ús~é]
• [Kérb~érós~ tíck~étíñ~g,]
• [Sérv~ícé P~ríñc~ípál~ Ñámé~s (SPÑ~),]
• [Gróú~p Pól~ícý Ó~bjéc~ts (GP~Ó),]
• [Áctí~vé Dí~réct~órý T~rúst~s & Dél~égát~íóñ]
• [RPC á~ñd SM~B.]

[Móst~ óf th~ésé á~ttác~ks ár~é héá~vílý~ fácí~lítá~téd b~ý ñét~wórk~ tráv~érsá~l. Áll~ thés~é sér~vícé~s cóm~é wít~h áss~ócíá~téd p~órts~ áñd p~rótó~cóls~.]

[Thé táblé bélów shóws thé pórts áñd prótócóls líkélý tó bé úséd bý á týpícál dómáíñ cóñtróllér thát múst bé léft ópéñ. Thís ámóúñts tó áñ éxpáñsívé áttáck súrfácé thát bád áctórs cáñ máké úsé óf. Thé chálléñgé ís thát íf wé décídéd tó clósé pórts, tó rédúcé áttáck súrfácés, Áctívé Díréctórý céásés tó fúñctíóñ própérlý.]

[Páth~ tó th~é dóm~áíñ c~óñtr~óllé~r]

[Thé prémísé héré ís álígñéd wíth thé ássúmé bréách phílósóphý whích ímplíés thát á thréát áctór máý álréádý hávé úñáúthórízéd áccéss tó ýóúr sýstéms ór ñétwórk, álbéít póssíblý wíth lówér-lévél prívílégés. Fór éxámplé, thís cóúld bé thé cómprómísé óf á úsér áccóúñt víá phíshíñg thát máý, íñ túrñ, léád tó búsíñéss émáíl cómprómísé (BÉC). Thís wíll álsó ímplý thát thé thréát áctór ís móré tháñ líkélý trýíñg tó wórk théír wáý tó á híghér prívílégéd áccóúñt áñd súbséqúéñtlý crówñ jéwél sýstém súch ás thé dómáíñ cóñtróllér.]

[Lét’s~ lóók~ át á h~ýpót~hétí~cál á~ttác~k fló~w fól~lówí~ñg th~ís pá~ttér~ñ:]

[Thé íñítíál áttáck íñvólvés á phíshíñg émáíl tó áñ émplóýéé. Thís phíshíñg áttáck cóñtáíñs á líñk tó á fáké Óffícé 365 ÓñéDrívé lógíñ whích thé émplóýéé fálls fór. Íñ cóñjúñctíóñ wíth jáváscrípt éxécútíóñ áñd íñ sómé cásés vúlñérábílítý, súch á líñk áútómátícállý rúñs á mémórý-óñlý málwáré lévérágíñg Wíñdóws Pówérshéll. Thís théñ léáds tó á révérsé shéll cómmáñd áñd cóñtról (C&C) báckdóór fróm thé cómprómíséd úsér’s Wíñdóws láptóp báck tó thé áttáckér. Thís ís thé stártíñg póíñt fór thís ártíclé’s ‘ássúmé bréách’ prémísé.]

[Thé áttáck úp tó thís stágé wíll bé móstlý áútómátéd só thé áttáckér wíll líkélý gét á C&C ñótífícátíóñ ábóút á ñéw shéll áñd théréfóré á ñéw cómprómíséd máchíñé. Théý áré álsó góíñg tó bé máíñlý óblívíóús óf thé fúll détáíls óf thé cómprómíséd sýstém súch ás úsér áccóúñts, prívílégés áñd ñétwórk résóúrcé áccéss. Thís ís whéré thé ÁTT&CK Díscóvérý Phásé ís ímpórtáñt tó áñ áttáckér.]

[ÁTT&C~K: Dís~cóvé~rý]

[Whát~ ís th~é fír~st th~íñg ý~óú mú~st dó~ tó pí~vót f~róm á~ síñg~lé sý~stém~, bé ít~ émpl~óýéé~ éñdp~óíñt~ ór wó~rkló~ád, tó~ á dóm~áíñ c~óñtr~óllé~r¿]

[Ás ÁT~T&CK w~óúld~ sáý í~ñ thé~ Dísc~óvér~ý phá~sé, “tr~ý tó f~ígúr~é óút~ thé é~ñvír~óñmé~ñt.”]  

[Ádvé~rsár~íés b~égíñ~ bý úñ~dérs~táñd~íñg w~hó th~é úsé~r óf t~hé sý~stém~ ís, th~é rúñ~ñíñg~ próc~éssé~s, fíl~é/dír~éctó~rý/gr~óúp m~émbé~rshí~p áñd~ séss~íóñ í~ñfór~mátí~óñ.]

[Tóóls líké ÑMÁP fór pórt scáññíñg áré áñ óptíóñ tó gét á láý óf thé láñd tó séé whát sérvícés áré lístéñíñg óñ rémóté máchíñés théý cáñ éxplóít.  Áddítíóñállý, Blóódhóúñd cáñ bé úséd tó máp thé Áctívé Díréctórý éñvíróñméñt tó úñdérstáñd thé fástést wáý tó thé dómáíñ cóñtróllér.]

[Thésé tóóls hávé bééñ úséd íñ áttácks, hówévér, théý hávé áñ íñhéréñt chálléñgé. Théý dráw tóó múch áttéñtíóñ tó thémsélvés ás thírd-pártý tóóls thát géñéráté tráffíc. Théý áré cháttý áñd sóméwhát óvért, méáñíñg théý cóúld bé détéctéd bý sécúrítý sýstéms.]

[Áttá~ckér~s áré~ bést~ sérv~éd bý~ símp~lý "lí~víñg~-óff-t~hé-lá~ñd" wh~éñ th~éý há~vé ác~céss~ tó á d~ómáí~ñ-jóí~ñéd é~ñdpó~íñt ó~r wór~klóá~d. Thí~s wáý~ théý~ úsé t~óóls~ thát~ áré ñ~átív~é tó t~hé éñ~dpóí~ñt áñ~d dóñ~'t gé~ñérá~té áñ~ý ñóí~sé óñ~ thé ñ~étwó~rk.]

[Áttá~ckér~s cáñ~ bégí~ñ wít~h bás~íc CL~Í cóm~máñd~s máñ~ý óf ú~s áré~ fámí~líár~ wíth~ ás áñ~ éásý~, dísc~réét~ wáý t~ó úñd~érst~áñd w~héré~ théý~ áré á~ñd wh~át th~éý cá~ñ dó ñ~éxt.]  

[Óñ á d~ómáí~ñ-jóí~ñéd c~líéñ~t mác~híñé~, cómm~áñds~ líké~ whóá~mí wí~ll ál~lów f~ór th~é dís~cóvé~rý óf~ thé s~ýsté~m ówñ~ér ór~ úsér~, áñd s~hów á~ñ óút~pút s~ímíl~ár tó~ whát~ ís sh~ówñ b~élów~.]

[Thís léts thé áttáckér búíld áñ áccóúñt prófílé óf thé cómprómíséd sýstém tó séé whát thát áccóúñt hás áccéss tó.  Á qúíck lóók át thé Áctívé Díréctórý gróúps thát thé máchíñé ís á párt óf léts thé áttáckér díscérñ thát thé úsér ís fór éxámplé, óñ thé Fíñáñcé téám. Théý kñów thát théý’ll líkélý hávé áccéss tó fíñáñcé fílé shárés tó éxplóít ór máý chóósé tó ímmédíátélý éxámíñé fílés óñ thé máchíñé íf fíñáñcé dátá ís whát théý áré áftér.]

[Thé thréát áctór cáñ álsó úsé á símplé ýét éfféctívé cómmáñd líké ñét úsérs áñd ássócíátéd swítchés tó díscóvér thé ñámé óf thé dómáíñ cóñtróllér théír cómprómíséd máchíñé ís jóíñéd tó áñd thé líst óf úsér áccóúñts thát éxíst óñ thé dómáíñ cóñtróllér.]

[Fróm~ héré~, thér~é ís á~ cléá~r sét~ óf ím~pórt~áñt d~étáí~ls th~át cá~ñ áíd~ théí~r pát~h tó t~hé dó~máíñ~ cóñt~róll~ér.]

[Óthér símplé cómmáñds máñý áré fámílíár wíth áré ípcóñfíg /áll áñd ñétstát -rñ tó óríéñt thé áttáckér tó thé défáúlt gátéwáý áñd ñétwórk, súbñét, DÑS áñd DHCP íñfórmátíóñ.  Théý cáñ álsó séé whát ís réácháblé gívéñ thé róútíñg táblé. Thís gívés thé áttáckér éñóúgh íñfórmátíóñ tó búíld óút á básíc máp óf ñétwórk lévél cóññéctíóñs. Théý cáñ décíphér whéthér ór ñót théír cómprómíséd máchíñé ís síttíñg óñ thé sámé súbñét ás thé Dómáíñ Cóñtróllér ór DÑS Sérvér. Fór thís réásóñ, ít ís ímpérátívé tó hávé á mícró-ségméñtátíóñ áppróách fór whích thé sécúrítý ís wórklóád dépéñdéñt ráthér tháñ ñétwórk dépéñdéñt évéñ íñ á flát ñétwórk árchítéctúré. Sécúrítý thát fóllóws thé wórklóád líké á Dómáíñ Cóñtróllér írréspéctívé óf súbñét ór lócátíóñ.]

[Théý~ máý á~lsó b~é ábl~é tó d~écíp~hér á~ddít~íóñá~l súb~ñéts~ áñd r~óúté~s áñd~ théí~r cór~résp~óñdí~ñg Gá~téwá~ýs áñ~d cór~róbó~ráté~ thát~ róút~íñg í~ñfór~mátí~óñ wí~th ré~vérs~é DÑS~ détá~íls ó~f, fór~ éxám~plé, ñ~étwó~rk sh~áré s~érvé~r ñám~és.]

[Móst órgáñízátíóñs úsé ñétwórk shárés fór émplóýéés wíthíñ thé sámé téám tó sháré áñd sómétímés árchívé íñfórmátíóñ. Thréát áctórs cáñ lévérágé Wíñdóws ñétwórk sháré détáíl fróm búílt-íñ útílítíés súch ás ñét úsé tó lócáté Fílé Sérvérs ór évéñ dómáíñ cóñtróllérs. Théý cáñ álsó úsé thís íñfórmátíóñ cómbíñéd wíth áñý cómprómíséd ór éscálátéd áccóúñts tó áccéss híddéñ Wíñdóws ñétwórk shárés líké ÁMDÍÑ$ ór C$. Thésé cáñ bé úséd tó fácílítáté thé spréádíñg málwáré tó óthér máchíñés óvér thé lócál SMB ñétwórk ór thróúgh á válíd rémóté áccéss VPÑ cóññéctíóñ cóññéctéd tó áñ SMB ñétwórk.]

[Wíth~ thís~ íñfó~rmát~íóñ, w~é cáñ~ ñów s~éé wh~át sh~árés~ áñd s~érvé~rs wé~ hávé~ áccé~ss tó~ íñ Wí~ñdów~s, bél~ów. Óñ~cé th~é átt~ácké~r hás~ á bít~ móré~ íñfó~rmát~íóñ á~bóút~ thé c~ómpr~ómís~éd sý~stém~ úñdé~r thé~ír có~ñtró~l, thé~ý cáñ~ fórm~úlát~é thé~ ñéxt~ pláñ~ óf ác~tíóñ~.]

[Íñ thís éxámplé, thé úsér ís á lócál ádmíñístrátór fór théír láptóp, théý hávé á VPÑ ádáptér íñ théír líst óf ÑÍCs áñd á córréspóñdíñg VPÑ ápplícátíóñ bút dó ñót hávé áñý Dómáíñ Ádmíñ áccéss. Síñcé á córé áím ís tó gét áccéss tó thé Dómáíñ cóñtróllér, thé áttáckér hás á féw óptíóñs líké trýíñg tó éscáláté prívílégés whích cáñ bé úséd fór látérál móvéméñt. Íf théré áré ñó óthér áccóúñts préséñt óñ thé sýstém fór whích prívílégés cáñ bé éscálátéd, théñ théý wíll móst líkélý hávé tó trý tó gét súch áñ áccóúñt. Théý cóúld lévérágé thé áúthéñtícítý óf thé cómprómíséd áccóúñt áñd máchíñé tó séñd évéñ móré tárgétéd phíshíñg áttácks íñsídé thé órgáñízátíóñ’s émáíl dómáíñ. Théý cóúld álsó cáúsé á máñ-mádé glítch óñ théír tárgétéd sýstém tó fórcé áñ ÍT súppórt cásé whích wíll móst líkélý méáñ á rémóté hélp séssíóñ wíth áñ ÍT ádmíñ whó wíll móré tháñ líkélý “Rúñ ás ádmíñístrátór” óñ thé íñféctéd máchíñé. Thréát áctórs téñd tó bé détérmíñéd áñd áré pátíéñt áñd wíll týpícállý dó whátévér ít tákés tó gét whát théý áré áftér.]

[Ít ís ímpórtáñt tó ñóté thát úp tó thís póíñt, wé hávé ñót évéñ úséd móré pówérfúl ñátívé cápábílítíés líké PówérShéll ór WMÍ. Thís ís tó délíbérátélý póíñt óút thé ámóúñt óf íñfórmátíóñ thát cáñ stíll bé óbtáíñéd óñ légácý ópérátíñg sýstéms ás óñ módérñ óñés. Fór éxámplé, thé áttáckér máý ýét stíll tést thé póssíbílítý óf ñátívé rémóté áccéss úsíñg á sýstém tóól líké PówérShéll tó séé whát máchíñés théý áccéss rémótélý tó áíd látérál móvéméñt áñd pívótíñg.]

[Pówérshéll Rémótíñg cápábílítíés ófférs úp ýét áñóthér ávéñúé óf díscóvérý áñd látérál móvéméñt cápábílítíés wíth cómmáñds líké Éñtér-PSSéssíóñ áñd váríóús óthér cmdléts thát cáñ rúñ thé CómpútérÑámé párámétér. Thé fórmér útílízíñg WíñRM (HTTP 5985 áñd HTTPS 5986) áñd thé látér thé móré úbíqúítóús RPC.]

[Wé úñdérstáñd thé ímpórtáñcé óf dómáíñ cóñtróllérs, wé kñów áñ íñtrúsíóñ hás óccúrréd, áñd ñów wé hávé á béttér úñdérstáñdíñg ás tó hów áttáckérs cáñ úsé símplé CLÍ cómmáñds áñd thé áll-ímpórtáñt lívíñg óff thé láñd téchñíqúés (thát wóñ’t géñéráté ñóísé ýóúr éñdpóíñt ór ñétwórk sécúrítý tóóls wíll séé) tó gét á láý óf thé láñd áñd díscóvér whéré théý áré íñ áñ éñvíróñméñt.]

[Óúr ñ~éxt p~óst w~íll é~xámí~ñé th~é lát~érál~ móvé~méñt~ thát~ áttá~ckér~s éxh~íbít~ áfté~r dís~cóvé~rý, tó~ gét t~ó thé~ dómá~íñ có~ñtró~llér~.]