Az - Lateral Movement (Cloud - On-Prem)
Az - Mouvement Latéral (Cloud - Sur Site)
Machines Sur Site connectées au cloud
Il existe différentes manières dont une machine peut être connectée au cloud :
Azure AD joint
Joint au lieu de travail
Joint hybride
Joint au lieu de travail sur AADJ ou Hybride
Jetons et limitations
Dans Azure AD, il existe différents types de jetons avec des limitations spécifiques :
Jetons d'accès : Utilisés pour accéder aux API et aux ressources comme Microsoft Graph. Ils sont liés à un client et une ressource spécifiques.
Jetons de rafraîchissement : Délivrés aux applications pour obtenir de nouveaux jetons d'accès. Ils ne peuvent être utilisés que par l'application à laquelle ils ont été délivrés ou un groupe d'applications.
Jetons de rafraîchissement principaux (PRT) : Utilisés pour l'authentification unique sur les appareils joints à Azure AD, enregistrés ou joints de manière hybride. Ils peuvent être utilisés dans les flux de connexion par navigateur et pour se connecter à des applications mobiles et de bureau sur l'appareil.
Clés Windows Hello for Business (WHFB) : Utilisées pour l'authentification sans mot de passe. Elles sont utilisées pour obtenir des jetons de rafraîchissement principaux.
Le type de jeton le plus intéressant est le jeton de rafraîchissement principal (PRT).
Az - Primary Refresh Token (PRT)Techniques de Pivotement
Depuis la machine compromise vers le cloud :
Pass the Cookie : Voler les cookies Azure du navigateur et les utiliser pour se connecter
Dump processes access tokens : Dump la mémoire des processus locaux synchronisés avec le cloud (comme excel, Teams...) et trouver des jetons d'accès en texte clair.
Phishing Primary Refresh Token: Phisher le PRT pour en abuser
Pass the PRT : Voler le PRT de l'appareil pour accéder à Azure en l'usurpant.
Pass the Certificate: Générer un certificat basé sur le PRT pour se connecter d'une machine à une autre
Depuis la compromission de AD vers la compromission du Cloud et depuis la compromission du Cloud vers la compromission de AD :
Une autre façon de pivoter du cloud vers Sur Site est d'abuser d'Intune
Cet outil permet d'effectuer plusieurs actions comme enregistrer une machine dans Azure AD pour obtenir un PRT, et utiliser des PRT (légitimes ou volés) pour accéder à des ressources de plusieurs manières différentes. Ce ne sont pas des attaques directes, mais cela facilite l'utilisation des PRT pour accéder à des ressources de différentes manières. Trouvez plus d'infos sur https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Références
Last updated
