GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Todas as ações mencionadas nesta seção que alteram configurações gerarão um alerta de segurança para o e-mail e até uma notificação push para qualquer dispositivo móvel sincronizado com a conta.
Você pode criar filtros para ocultar notificações de segurança do Google
from: (no-reply@accounts.google.com) "Security Alert"
Isso impedirá que e-mails de segurança cheguem ao e-mail (mas não impedirá notificações push no celular)
Crie um endereço de encaminhamento para encaminhar informações sensíveis (ou tudo) - Você precisa de acesso manual.
Crie um endereço de encaminhamento em https://mail.google.com/mail/u/2/#settings/fwdandpop
O endereço de recebimento precisará confirmar isso
Em seguida, defina para encaminhar todos os e-mails enquanto mantém uma cópia (lembre-se de clicar em salvar alterações):
Também é possível criar filtros e encaminhar apenas e-mails específicos para o outro endereço de e-mail.
Se você conseguiu comprometer uma sessão de usuário do Google e o usuário tinha 2FA, você pode gerar uma senha de aplicativo (siga o link para ver os passos). Observe que senhas de aplicativo não são mais recomendadas pelo Google e são revogadas quando o usuário altera a senha da conta do Google.
Mesmo que você tenha uma sessão aberta, você precisará saber a senha do usuário para criar uma senha de aplicativo.
Senhas de aplicativo podem ser usadas apenas com contas que têm a Verificação em Duas Etapas ativada.
Também é possível desativar 2-FA ou inscrever um novo dispositivo (ou número de telefone) nesta página https://myaccount.google.com/security. Também é possível gerar chaves de acesso (adicionar seu próprio dispositivo), alterar a senha, adicionar números de celular para telefones de verificação e recuperação, alterar o e-mail de recuperação e mudar as perguntas de segurança).
Para impedir que notificações push de segurança cheguem ao telefone do usuário, você poderia desconectar seu smartphone (embora isso seja estranho) porque você não pode reconectá-lo novamente a partir daqui.
Também é possível localizar o dispositivo.
Mesmo que você tenha uma sessão aberta, você precisará saber a senha do usuário para alterar essas configurações.
Se você comprometeu a conta de um usuário, você pode simplesmente aceitar conceder todas as permissões possíveis a um Aplicativo OAuth. O único problema é que o Workspace pode ser configurado para não permitir aplicativos OAuth externos e/ou internos não revisados. É bastante comum que as Organizações do Workspace não confiem por padrão em aplicativos OAuth externos, mas confiem em internos, então se você tiver permissões suficientes para gerar um novo aplicativo OAuth dentro da organização e aplicativos externos forem desautorizados, gere-o e use esse novo aplicativo OAuth interno para manter a persistência.
Verifique a página a seguir para mais informações sobre Aplicativos OAuth:
GWS - Google Platforms PhishingVocê pode simplesmente delegar a conta para uma conta diferente controlada pelo atacante (se você tiver permissão para fazer isso). No Workspace, essa opção deve ser ativada. Pode ser desativada para todos, ativada para alguns usuários/grupos ou para todos (geralmente é ativada apenas para alguns usuários/grupos ou completamente desativada).
Se você tiver uma sessão dentro da conta do Google da vítima, pode navegar até a Play Store e pode ser capaz de instalar malware que você já carregou na loja diretamente no telefone para manter a persistência e acessar o telefone da vítima.
Você pode criar gatilhos baseados em tempo em Scripts de Aplicativo, então se o Script de Aplicativo for aceito pelo usuário, ele será ativado mesmo sem o usuário acessá-lo. Para mais informações sobre como fazer isso, verifique:
GWS - App Scriptshttps://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch e Beau Bullock - OK Google, como faço para Red Team GSuite?
Faça login usando uma conta de administrador, não sua conta atual CarlosPolop@gmail.com 2. No console de administração, vá para Menu AppsGoogle WorkspaceGmailConfigurações do usuário. 3. Para aplicar a configuração a todos, deixe a unidade organizacional superior selecionada. Caso contrário, selecione uma unidade organizacional filha. 4. Clique em Delegação de e-mail. 5. Marque a caixa Permitir que os usuários deleguem acesso à sua caixa de entrada a outros usuários no domínio. 6. (Opcional) Para permitir que os usuários especifiquem quais informações do remetente estão incluídas nas mensagens delegadas enviadas de sua conta, marque a caixa Permitir que os usuários personalizem esta configuração. 7. Selecione uma opção para as informações do remetente padrão que estão incluídas nas mensagens enviadas pelos delegados:
No canto superior direito, clique em Configurações Ver todas as configurações.
6. Clique em Próximo passo Enviar e-mail para conceder acesso.
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
