一位安全研究人員，剛剛找到了一種利用 Mimikatz，從微軟 Windows 365 Cloud PC 服務(wù)中轉(zhuǎn)儲(chǔ)用戶(hù)未加密的明文 Microsoft Azure 憑據(jù)的方法。據(jù)悉，Mimikatz 是由 Benjamin Delpy 創(chuàng)建的開(kāi)源網(wǎng)絡(luò)安全項(xiàng)目，允許研究人員測(cè)試各種憑證竊取和模擬漏洞。

mimikatz 的?GitHub?項(xiàng)目主頁(yè)寫(xiě)道，其具有從內(nèi)存中提取明文密碼、哈希、PIN 碼和 kerberos 憑證等功能。

尷尬的是，盡管 mimikatz 是專(zhuān)為安全研究人員而創(chuàng)建的，但由于各種模塊的功能相當(dāng)強(qiáng)大，威脅行為者也能夠利用這把雙刃劍，從 LSASS 進(jìn)程的內(nèi)存中轉(zhuǎn)儲(chǔ)純文本密碼、或執(zhí)行 NTLM 哈希傳遞攻擊。

此外攻擊者可在整個(gè)網(wǎng)絡(luò)中橫向傳播，直到他們奪取并接管?Windows?域控制器的控制權(quán)。

8 月 2 日，微軟推出了基于 Windows 365 的云桌面服務(wù)，允許用戶(hù)租用云 PC、并通過(guò)遠(yuǎn)程桌面客戶(hù)端或?yàn)g覽器進(jìn)行訪(fǎng)問(wèn)。

雖然微軟提供了虛擬 PC 的免費(fèi)試用版，但名額很快被搶購(gòu)一空。Benjamin Delpy 在接受 BleepingComputer 采訪(fǎng)時(shí)稱(chēng)，自己有幸獲得了一個(gè)能夠測(cè)試這項(xiàng)新服務(wù)安全性的機(jī)會(huì)。

結(jié)果發(fā)現(xiàn)，Windows 365 云 PC 竟然允許惡意程序轉(zhuǎn)儲(chǔ) Microsoft Azure 登錄用戶(hù)的明文郵件地址和密碼。

按照既有的技術(shù)設(shè)定，終端服務(wù)器進(jìn)程將要求內(nèi)核為其進(jìn)行解密。

然而通過(guò) 2021 年 5 月發(fā)現(xiàn)的一個(gè)漏洞，他還是順利完成了轉(zhuǎn)儲(chǔ)登錄終端服務(wù)器用戶(hù)的明文憑據(jù)的相關(guān)操作。

盡管用戶(hù)的終端服務(wù)器憑據(jù)在存儲(chǔ)于內(nèi)存中時(shí)會(huì)被加密，但 Delpy 聲稱(chēng)可以通過(guò)欺騙終端服務(wù)進(jìn)程的方式來(lái)解密。

此外由于使用了 RDP 遠(yuǎn)程桌面協(xié)議，這套攻擊方案也適用于 Web 瀏覽器。

盡管需要具有管理員權(quán)限才能運(yùn)行 mimikatz，普通賬戶(hù)的用戶(hù)無(wú)需太過(guò)擔(dān)心。

但若攻擊者獲得了 Windows PC 設(shè)備的訪(fǎng)問(wèn)權(quán)限以運(yùn)行相關(guān)命令，后果就難以想象了。

比如，假設(shè)你在 Windows 365 云 PC 上打開(kāi)了帶有惡意附件的網(wǎng)絡(luò)釣魚(yú)電子郵件，并且逃過(guò)了系統(tǒng)自帶的 Microsoft Defender 安全軟件的眼線(xiàn)。

那樣一旦你啟用了文檔中的惡意宏，它就可以安裝遠(yuǎn)程訪(fǎng)問(wèn)程序，以便攻擊者對(duì) Cloud PC 展開(kāi)進(jìn)一步的滲透。

在利用 PrintNightmare 等漏洞來(lái)獲得管理員權(quán)限之后，借助 mimikatz 轉(zhuǎn)儲(chǔ)明文憑據(jù)等操作都將唾手可得。

更別提威脅行為者會(huì)結(jié)合多重手段，向其它 Microsoft 服務(wù)和可能的企業(yè)內(nèi)部網(wǎng)絡(luò)來(lái)橫向傳播。

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/