Az - Lateral Movement (Cloud - On-Prem)
Az - Movimento Lateral (Nuvem - On-Prem)
Máquinas On-Prem conectadas à nuvem
Existem diferentes maneiras de uma máquina estar conectada à nuvem:
Azure AD conectado
Conectado ao local de trabalho
Conectado de forma híbrida
Conectado ao local de trabalho em AADJ ou Híbrido
Tokens e limitações
No Azure AD, existem diferentes tipos de tokens com limitações específicas:
Tokens de acesso: Usados para acessar APIs e recursos como o Microsoft Graph. Eles estão vinculados a um cliente e recurso específicos.
Tokens de atualização: Emitidos para aplicativos para obter novos tokens de acesso. Eles só podem ser usados pelo aplicativo ao qual foram emitidos ou por um grupo de aplicativos.
Tokens de Atualização Primários (PRT): Usados para Single Sign-On em dispositivos conectados ao Azure AD, registrados ou conectados de forma híbrida. Eles podem ser usados em fluxos de login no navegador e para fazer login em aplicativos móveis e de desktop no dispositivo.
Chaves do Windows Hello for Business (WHFB): Usadas para autenticação sem senha. Elas são usadas para obter Tokens de Atualização Primários.
O tipo de token mais interessante é o Token de Atualização Primário (PRT).
Az - Primary Refresh Token (PRT)Técnicas de Pivotagem
Da máquina comprometida para a nuvem:
Pass the Cookie: Roubar cookies do Azure do navegador e usá-los para fazer login
Dump processes access tokens: Despejar a memória de processos locais sincronizados com a nuvem (como excel, Teams...) e encontrar tokens de acesso em texto claro.
Phishing Primary Refresh Token: Phish o PRT para abusar dele
Pass the PRT: Roubar o PRT do dispositivo para acessar o Azure se passando por ele.
Pass the Certificate: Gerar um certificado baseado no PRT para fazer login de uma máquina para outra
De comprometer AD para comprometer a Nuvem e de comprometer a Nuvem para comprometer AD:
Outra maneira de pivotar da nuvem para On-Prem é abusar do Intune
Esta ferramenta permite realizar várias ações, como registrar uma máquina no Azure AD para obter um PRT e usar PRTs (legítimos ou roubados) para acessar recursos de várias maneiras. Esses não são ataques diretos, mas facilitam o uso de PRTs para acessar recursos de diferentes maneiras. Encontre mais informações em https://dirkjanm.io/introducing-roadtools-token-exchange-roadtx/
Referências
Last updated
