Az - Lateral Movement (Cloud - On-Prem)
Az - Lateral Movement (Cloud - On-Prem)
Macchine On-Prem collegate al cloud
Ci sono diversi modi in cui una macchina può essere collegata al cloud:
Azure AD joined
Workplace joined
Hybrid joined
Workplace joined su AADJ o Hybrid
Token e limitazioni
In Azure AD, ci sono diversi tipi di token con limitazioni specifiche:
Access tokens: Utilizzati per accedere a API e risorse come Microsoft Graph. Sono legati a un client e a una risorsa specifici.
Refresh tokens: Emessi alle applicazioni per ottenere nuovi access tokens. Possono essere utilizzati solo dall'applicazione a cui sono stati emessi o da un gruppo di applicazioni.
Primary Refresh Tokens (PRT): Utilizzati per il Single Sign-On su dispositivi Azure AD joined, registrati o hybrid joined. Possono essere utilizzati nei flussi di accesso del browser e per accedere a applicazioni mobili e desktop sul dispositivo.
Windows Hello for Business keys (WHFB): Utilizzati per l'autenticazione senza password. Viene utilizzato per ottenere Primary Refresh Tokens.
Il tipo di token più interessante è il Primary Refresh Token (PRT).
Az - Primary Refresh Token (PRT)Tecniche di Pivoting
Da macchina compromessa al cloud:
Pass the Cookie: Rubare i cookie di Azure dal browser e usarli per accedere
Dump processes access tokens: Dumpare la memoria dei processi locali sincronizzati con il cloud (come excel, Teams...) e trovare access tokens in chiaro.
Phishing Primary Refresh Token: Phishing del PRT per abusarne
Pass the PRT: Rubare il PRT del dispositivo per accedere ad Azure impersonandolo.
Pass the Certificate: Generare un certificato basato sul PRT per accedere da una macchina a un'altra
Da compromettere AD a compromettere il Cloud e da compromettere il Cloud a compromettere AD:
Un altro modo per pivotare dal cloud a On-Prem è abusare di Intune
Questo strumento consente di eseguire diverse azioni come registrare una macchina in Azure AD per ottenere un PRT e utilizzare PRT (legittimi o rubati) per accedere a risorse in vari modi. Questi non sono attacchi diretti, ma facilitano l'uso dei PRT per accedere a risorse in modi diversi. Trova ulteriori informazioni in https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Riferimenti
Last updated
