Ataque DCShadow: qué es y cómo defenderse de él
Un servidor fraudulento es una pesadilla para cualquier administrador de sistemas. Pero cuando ese servidor resulta ser un controlador de dominio, ahora tienes una situación de pesadilla en tus manos. Un ataque DCShadow es exactamente este escenario.
En esta publicación, desglosaremos exactamente lo que sucede durante un ataque de DCShadow, las formas en que puedes defenderte contra él y, en última instancia, evitar despertarte con sudores fríos.
¿Qué es un ataque DCShadow?
DCShadow es un ataque posterior a la explotación en el que un atacante aprovecha credenciales privilegiadas para imitar un controlador de dominio y realizar cambios maliciosos en Active Directory.
DCShadow se presentó por primera vez en BlueHat IL y Black Hat en 2018. En sus presentaciones, Vincent Le Toux y Benjamin Delpy (gentilkiwi) introdujeron un nuevo método de ataque que simula la creación de un controlador de dominio (DC) y aprovecha su sincronización para inyectar malware. cambia a Active Directory (AD). Los cambios realizados de esta manera simplemente se integran como una replicación de dominio normal. DCShadow es una característica incluida en la herramienta Mimikatz de gentilkiwi.
Cómo funcionan los ataques DCShadow
Un ataque DCShadow se utiliza principalmente para crear persistencia. Para que los atacantes aprovechen DCShadow, necesitan acceso a las credenciales de administrador de dominio (DA). A los efectos de este artículo, nos centraremos específicamente en el acceso a DA, pero también hay formas de evitar las credenciales de DA, que Nikhil “SamratAshok” Mittal cubre en un blog aparte.
Usando la cuenta DA, un atacante registra un controlador de dominio falso creando dos objetos en la partición CN=Configuration. A continuación, se deben modificar los SPN de la cuenta del ordenador atacante. Este paso convierte efectivamente la computadora del atacante en un controlador de dominio temporal.
Para comprender el siguiente concepto, es importante comprender primero la replicación de DC en un nivel alto. Un entorno típico de Active Directory está configurado con varios controladores de dominio. Cuando un usuario inicia sesión en una computadora, la computadora se conecta automáticamente a uno de estos DC. Lo mismo ocurre cuando un administrador realiza cambios en Active Directory. Por ejemplo, un administrador se conecta a un DC y ajusta la membresía del grupo de un usuario. Luego, ese cambio se replica en todos los demás países en desarrollo.
Los atacantes aprovechan esta replicación para realizar cambios furtivamente en Active Directory. El DC falso se utiliza para realizar los cambios deseados en AD y luego se activa la replicación. Los otros países en desarrollo (reales) simplemente ven esto como una replicación típica.
El ataque concluye limpiando los cambios realizados para degradar el DC falso, como si nunca hubiera existido.
Hacer que DCShadow funcione es solo el comienzo. Este ataque se basa en cómo lo uses.
¿Qué pueden hacer los atacantes?
Como se mencionó anteriormente, el ataque DCShadow se utiliza para crear un punto de apoyo y mantener la persistencia. Un ejemplo simple y fácilmente detectable de esto sería que el atacante creara una nueva cuenta AD y le otorgara privilegios. De esa manera, cuando la cuenta original está deshabilitada, se cambia su contraseña o se detecta de otra manera, un atacante puede simplemente pasar a la cuenta recién creada. Un ataque DCShadow tiene la capacidad de realizar técnicas de persistencia similares, pero bajo la apariencia de una sincronización de directorios normal.
Los atacantes no se tomarán todas estas molestias simplemente para crear una cuenta de puerta trasera. Si han sido tan astutos hasta ahora, seguramente harán más daño utilizando técnicas más creativas. Algunos atributos de usuario de ejemplo que se pueden modificar son sIDHistory, ntpwdHistory, PrimaryGroupID y whenChanged. Otros métodos de ataque pueden incluir realizar cambios en el esquema, atacar dominios confiables, atacar KRBTGT o modificar DACL.
Ataques al historial de SID
Para explicar brevemente el uso del Historial SID, Mimikatz se ejecuta desde una estación de trabajo unida a un dominio como administrador. La cuenta del hacker se prepara para que su valor de SIDHistory se establezca en el SID de una cuenta a la que se le han concedido derechos de administrador de dominio. Sin aplicar más permisos, la próxima vez que la cuenta del hacker inicie sesión, se evalúan los SID asociados con la cuenta. Debido a que la cuenta está asociada con una cuenta DA, esto efectivamente otorga a la cuenta del hacker los mismos permisos. Sean Metcalf tiene un excelente artículo que explica completamente la explotación de SID History.
Lo que hace que este ataque sea aún más aterrador es que las modificaciones de la cuenta se realizan sin generar ninguno de los registros típicos.
Defensa y detección
El ataque DCShadow no es una vulnerabilidad que pueda simplemente parchearse. El ataque aprovecha los protocolos de Microsoft de una manera para la que nunca se pretendió utilizarlos y, por lo tanto, esto se consideraría una vulnerabilidad "sin solución".
Si bien esto puede parecer una situación terrible, existen formas de defenderse de un ataque de DCShadow. Como se indicó anteriormente, DCShadow es un ataque posterior al compromiso, por lo que un paso crítico para defenderse es no permitir nunca que suceda en primer lugar. Cada paso que debe dar un atacante antes de obtener DA es otra oportunidad de prevención. Tener una buena higiene de Active Directory es la mejor defensa contra DCShadow.
Es cierto que DCShadow omite la mayoría de los registros recopilados por un SIEM o monitoreados por un SOC, pero está lejos de ser indetectable. El tráfico de red es un método de detección de alta fidelidad. Las modificaciones del objeto CN=Configuration y la replicación de DC solo deberían ocurrir desde un DC, por lo que el tráfico de red que se origina en otras IP se consideraría sospechoso o incluso debería bloquearse.
Diagrama de DCShadow.com
Benjamin Delpy también proporcionó un script Splunk para la detección de registros de eventos que indican un ataque DCShadow. Esto incluye comprobaciones para la adición de los SPN.
Dado que el ataque DCShadow acaba de cumplir cinco años, muchas herramientas de detección se han puesto al día y son capaces de detectar posibles ataques. Quest On Demand for Audit puede detectar DCShadow y Quest Recovery Manager para Active Directory Disaster Recovery Edition puede ayudar a restaurar los objetos afectados a su configuración original.
Conclusión
¿Por qué utilizar DCShadow? Si un atacante ya tiene DA, ¿no se acabó el juego? En general, sí, pero con una buena higiene de Active Directory y un equipo de detección sólido, ese acceso puede durar poco. La mejor defensa es evitar que un atacante llegue tan lejos.
Los métodos de protección tradicionales, como la clasificación de cuentas, los privilegios mínimos y una buena higiene de las contraseñas, hacen que sea mucho más difícil para un atacante estar en condiciones de realizar un ataque DCShadow. Si bien no es un consuelo, es importante mencionar que si un atacante obtuviera DA en su entorno, habría diferentes ataques que son mucho más comunes. DCShadow ha salido de las sombras y da mucho menos miedo.
Lo siguiente en la agenda, cubriré el hombre del saco conocido como DCSync, estad atentos.