[Táké~ Mé tó~ Ýóúr~ Dómá~íñ Có~ñtró~llér~: Hów Á~ttác~kérs~ Móvé~ Láté~ráll~ý Thr~óúgh~ Ýóúr~ Éñví~róñm~éñt]

[Dáñ G~óúld~ álsó~ cóñt~ríbú~téd t~ó thí~s pós~t.]

[Íñ thé fírst párt óf thís blóg séríés, wé sáw dífféréñt wáýs á thréát áctór cáñ cárrý óút thé Díscóvérý phásé óf thé ÁTT&CK fráméwórk tó gáíñ á láý óf thé láñd áftér áñ íñítíál íñféctíóñ. Thís gívés thém ímpórtáñt ñétwórk áñd dómáíñ íñfórmátíóñ, évéñ wíth stáñdárd dómáíñ prívílégés. Wé álsó ñótéd sómé óf thé cómpóñéñts úséd bý á dómáíñ cóñtróllér thát máý bé áttáckéd díréctlý ór lévérágéd ás párt óf áñ áttáck.]

[Héré~, wé wí~ll él~ábór~áté ó~ñ thí~s tó s~hów é~xámp~lés ó~f átt~ácks~ áñd t~óóls~ thát~ cáñ b~é úsé~d ágá~íñst~ thés~é cóm~póñé~ñts t~ó éxé~cúté~ thé ñ~éxt p~hásé~ óf áñ~ áttá~ck: lá~térá~l móv~éméñ~t.]

[Árméd wíth thís úséfúl íñfórmátíóñ, líké thósé shówñ íñ thé prévíóús póst íñ thé díscóvérý phásé, thé thréát áctór cáñ ñów cóñfídéñtlý áttémpt látérál móvéméñt óñ thé páth tó thé dómáíñ cóñtróllér. Hówévér, théý wíll ñééd thé ñécéssárý crédéñtíáls, íñtérmédíáté tárgét sýstéms áñd cómpóñéñts íñfórmátíóñ, cómbíñéd wíth thé córréspóñdíñg áttáckíñg tóóls, tó réách théír últímáté tárgét.]

[ÁTT&C~K: Lát~érál~ Móvé~méñt~]

[Látérál móvéméñt, éspécíállý íñ á Wíñdóws dómáíñ, máý óccúr át twó lévéls. Fírst thé ápplícátíóñ lévél, whéré thé áttáckér máý úsé crédéñtíál báséd téchñíqúés líké páss-thé-hásh ór páss-thé-tíckét whích íñ túrñ lévérágés thé ñétwórk lévél whéré théý áctúállý móvé fróm máchíñé tó máchíñé óñ thé wáý tó thé últímáté tárgét whích íñ thís cásé ís thé Dómáíñ Cóñtróllér.]

[Thís~ bríñ~gs ús~ tó cr~édéñ~tíál~-básé~d téc~hñíq~úés.]

[Créd~éñtí~ál-bá~séd t~échñ~íqúé~s fór~ láté~rál m~óvém~éñt]

[Cáñd~ídlý~, óñcé~ dómá~íñ ád~míñ c~rédé~ñtíá~ls ár~é úñc~óvér~éd, th~é dóm~áíñ c~óñtr~óllé~r ís t~ýpíc~állý~ á cóm~máñd~ próm~pt áw~áý.]

[Áttáckérs séék tó dúmp crédéñtíáls cáchéd íñ cómmóñ lócátíóñs, líké Lócál Sécúrítý Áúthórítý Súbsýstém Sérvícé (LSÁSS), úséd tó áúthéñtícáté úsérs, lógíñs, áñd pérmíssíóñs óñ Wíñdóws. Whý áré crédéñtíáls (háshéd pásswórds/tíckéts) képt íñ mémórý¿ Fór síñglé sígñ-óñ, ít’s só úsérs dóñ’t hávé tó réáúthéñtícáté áll thé tímé.]

[Íf áttáckérs áré íñ lúck, théý cómprómísé á sýstém thát hás pást ádmíñ lógíñs rémáíñíñg íñ mémórý. Thósé lógíñ crédéñtíáls cáñ bé cóáxéd óút wíth Mímíkátz ór símílár LSÁSS mémórý próbíñg tóóls. Ás ýóú kñów bý ñów, Mímíkátz áñd símílár tóóls éñáblé thréát áctórs tó fíñd áñd éxtráct áúthéñtícátíóñ crédéñtíáls líké ÑTLM háshés áñd Kérbérós tíckét íñfórmátíóñ fróm á rúññíñg cómpútér’s kérñél mémórý úséd bý LSÁSS.]

[Thé é~xámp~lé bé~lów s~hóws~ créd~éñtí~ál dú~mpíñ~g úsí~ñg Mí~míká~tz.]

[Íñ móst cásés, thé íñítíállý cómprómíséd áccóúñt óñlý ñééds tó bé á lócál ádmíñístrátór áccóúñt óñ thé Wíñdóws máchíñé tó bé áblé tó súccéssfúllý rúñ tóóls líké Mímíkátz. Thís méáñs thát ít wíll hávé thé ñécéssárý prívílégés, líké thé Wíñdóws débúg prívílégé, tó réád kérñél ór prívílégéd mémórý fór cértáíñ crúcíál Wíñdóws prócéssés líké LSÁSS. Ás méñtíóñéd éárlíér, Wíñdóws dómáíñs rélý héávílý óñ síñglé sígñ-óñ cápábílítý tó óffér áñ álmóst séámléss éxpéríéñcé fór úsérs áñd máchíñés réqúéstíñg résóúrcés ácróss thé dómáíñ. Tó éásílý fácílítáté thís, Wíñdóws hás bééñ úsíñg thé ábílítý tó stóré háshéd crédéñtíáls íñ mémórý áñd fór thé óldér vérsíóñs, pláíñ téxt pásswórds íñ mémórý. Thís ís óñé óf thé máíñ wáýs tóóls líké Mímíkátz áré áblé tó rétríévé ÑTLM háshés áñd, íñ sómé cásés, pláíñ téxt pásswórds fór téchñíqúés súch ás páss-thé-hásh áñd páss-thé-tíckét áttácks.]

[Héré~ ís wh~át dú~mpíñ~g Kér~béró~s tíc~kéts~ fróm~ mémó~rý ló~óks l~íké:]

[Áñóthér tóól thát cáñ bé úséd fór Kérbérós tíckét rélátéd áttácks ís Rúbéús. Ít hás cápábílítíés líké Kérbérós tíckét réqúésts, whích rétríévé á Tíckét-Gráñtíñg-Tíckét (TGT) báséd óñ á úsér's pásswórd/hásh íñ óñé íñstáñcé ór báséd óñ á úsér's cértífícáté stóré. Rúbéús cáñ álsó bé úséd fór ábúsíñg cóñstráíñéd délégátíóñ íñ Wíñdóws dómáíñs bý pérfórmíñg Sérvícé-fór-Úsér (S4Ú) cóñstráíñéd délégátíóñ wíthíñ á spécífíc dómáíñ ór évéñ ácróss dómáíñs íñ á Fórést.]

[Fróm thé éxámplé bélów, wé cáñ séé thát thé thréát áctór ís áblé tó dúmp crédéñtíál hásh íñfórmátíóñ fróm mémórý áñd lócáté á spécífíc áccóúñt ñámé ídéñtífíéd ás áñ ádmíñ áccóúñt. Thís áccóúñt wíll bé préséñt bécáúsé ít wóúld hávé lóggéd óñ tó thát máchíñé át sómé póíñt.]

[Thís~ spéc~ífíc~ dúmp~ wíll~ álsó~ íñcl~údé í~ñfór~mátí~óñ sú~ch ás~ thé l~ógóñ~ sérv~ér íñ~ thé d~ómáí~ñ. Thí~s cáñ~ bé có~rrób~órát~éd wí~th th~é íñf~órmá~tíóñ~ gáth~éréd~ dúrí~ñg th~é dís~cóvé~rý ph~ásé t~ó cóñ~fírm~ thé t~árgé~t dóm~áíñ c~óñtr~óllé~r.]

[Íñ thé éxámplé bélów, fróm thé “ítádmíñ” áccóúñt ÑTLM hásh whích wás dúmpéd éárlíér, wé hávé bééñ áblé tó páss thís hásh tó láúñch á ñéw Wíñdóws cmd prócéss wíth thé élévátéd ádmíñ prívílégéd tókéñ. Thís méáñs thát thé ñéw cmd prócéss cáñ pérfórm áctíóñs íñ thé cóñtéxt óf á prívílégéd áccóúñt évéñ thóúgh thé áctúál lóggéd-íñ úsér máý júst hávé lócál ádmíñ ríghts óñ thé cómprómíséd máchíñé.]

[Thís ñéw prócéss wíll bé rúññíñg wíth thé élévátéd tókéñ óf thé “ítádmíñ,” whích méáñs thát wé cáñ úsé ít tó rúñ óthér rémóté áccéss tóóls tó tárgét áñd cóññéct tó thé dómáíñ cóñtróllér óvér thé ñétwórk. Íñ thé ímágé bélów, wé cáñ séé thát áftér á súccéssfúl páss-thé-hásh áttáck, á sécóñdárý tóól líké pówér ádmíñ’s PÁéxéc cáñ bé úséd tó cárrý óñ thé rést óf thé áttáck bý cóññéctíñg rémótélý tó thé dómáíñ cóñtróllér. Thé hóstñámé cómmáñd íñ thé ímágé cóñfírms súccéssfúl látérál móvéméñt át bóth thé ápplícátíóñ áñd ñétwórk lévéls.]

[Wé cáñ chéck thé rúññíñg sérvícés óñ thé dómáíñ cóñtróllér máchíñé tó vérífý thát PÁÉxéc mádé á cóññéctíóñ wíth á córréspóñdíñg prócéss. Thé páss-thé-hásh téchñíqúé úséd tó spáwñ thé ádmíñístrátór-élévátéd tókéñ óñ thé cómprómíséd láptóp, whích wás théñ úséd tó rúñ thé PÁÉxéc rémóté máñágéméñt tóól, wás súccéssfúl ás shówñ íñ thé ímágé bélów.]

[Thís~ ís á s~ímpl~é dém~óñst~rátí~óñ óf~ hów á~ttác~kérs~ cáñ m~óvé l~átér~állý~, fróm~ thé á~pplí~cátí~óñ lé~vél (c~rédé~ñtíá~l thé~ft íñ~ próc~éss m~émór~ý) tó t~hé ñé~twór~k lév~él (sm~b, msr~pc ór~ http~ mách~íñé t~rávé~rsál~), tó ré~ách t~hé úl~tímá~té tá~rgét~ – thé d~ómáí~ñ cóñ~tról~lér.]

[ÁTT&C~K: Ímp~áct]

[Át thís póíñt, hávíñg réáchéd thé dómáíñ cóñtróllér, thé áttáckér ís íñ chárgé. Théý cáñ prócééd tó cópý áddítíóñál málícíóús fílés óñtó thé dómáíñ cóñtróllér rémótélý. Fór éxámplé, théý cóúld ñów cópý Mímíkátz óñtó thé dómáíñ cóñtróllér áñd úsé ít tó éxtráct thé búílt-íñ KRBTGT úsér áccóúñt’s hásh – íñ áddítíóñ tó óthér dómáíñ íñfórmátíóñ – íñ órdér tó láúñch thé Góldéñ Tíckét áttáck. Thís cáñ théñ bé úséd fór páss-thé-tíckét áttácks ácróss thé éñtíré dómáíñ.]

[Thé áttáckér cáñ évéñ úsé thé tóóls álréádý íñ plácé, lívíñg óff thé láñd tó déplóý sóméthíñg líké ráñsómwáré áñd cóññéct tó óthér séñsítívé sérvérs, líké dátábásé ór ápplícátíóñ sérvérs, tó fúrthér éxfíltráté dátá. Thís cóúld bé PsÉxéc, PówérShéll, SCCM – áñý ÍT ádmíñístrátíóñ tóól thát cáñ déplóý sóftwáré.]

[Dépéñdíñg óñ thé sóphístícátíóñ óf thé áttáck, áñ áttáckér máý úsé áll cústóm tóóls ór rúñ códé óñlý íñ mémórý, só thát sígñátúré áñálýsís óf tóóls líké Mímíkátz bécómés díffícúlt fór áñý sécúrítý tóóls tó détéct áñd prévéñt. Íñ á símílár véíñ, béhávíóúrál áñálýsís cáñ álsó bé résóúrcé-héávý, só thésé áñálýsís téchñíqúés máý bé dísábléd, éspécíállý íñ sérvér éñvíróñméñts ór légácý ópérátíñg sýstéms thát rúñ légácý crítícál ápplícátíóñs.]

[Túñé~ íñ tó~ óúr ñ~éxt p~óst t~hát é~xámí~ñés m~ítíg~átíó~ñs fó~r thé~sé át~táck~s.]