Hacktivity egyetem #6 – Mit tegyünk, ha megtámad a nyomtatónk?

Ezúttal Martin Grottenthaler IT-biztonsági szakértő segítségével arra keressük majd a választ, hogy mit tehet az a vállalat, amelyet megtámadtak a saját nyomtatói (jó, persze, nem a nyomtatók, hanem hackerek, akik a nyomtatókon keresztül érkeztek). A szakember már több mint 5 éve dolgozik biztonsági tanácsadóként a bécsi SBA Research cégnél, elsősorban a belső hálózatok biztonságával foglalkozik. A gyakorlatban ez a Windowst és az Active Directory-t jelenti. Elsősorban behatolásteszteket és „red teaminget” végez, valamint Windows-biztonsági képzéseket tart.

A „red teaming” becenevű tesztek során a „vörös csapat” ellenségesen lép fel, és fizikai és/vagy digitális behatolást kísérel meg egy szervezet ellen az adott szervezet utasítására, majd jelentést tesznek róla, hogy a szervezet a tapasztalatok alapján javíthassa védelmét. 

A vörös csapatok munkája tehát legális, de meglephet néhány olyan alkalmazottat, akik esetleg nem tudnak a vörös csapat tevékenykedéséről – mivel esetleg éppen az ő felelősségi területeiket tesztelik – vagy akik szimplán észlelik a a vörös csapat működésének jeleit, szintén a vállalaton belülről.

A „vörös csapat teszt” egyes definíciói tágabbak, és magukban foglalják a szervezeten belüli bármely olyan csoportot, amelyet arra utasítanak, hogy gondolkodjon rendhagyó megoldásokban, és vizsgáljon meg a gyakorlatban is olyan alternatív forgatókönyveket, amelyek bekövetkezte kevésbé valószínű. Ez a koncepció és a belőle fakadó tesztek fontos védelmet jelenthetnek a téves feltételezések és a cégen belül eluralkodó csoportgondolkodás, illetve annak tévképzetei ellen. Maga a „red teaming” kifejezés egyébként az 1960-as (hidegháborús…) években született az Egyesült Államokban. 

CTO-time: a nem elég komoly hibák paradoxona

Martin Grottenthaler az olyan kényszerítési technikák ismertetésével kezdte, mint a PetitPotam vagy a Printer Bug, amelyeket már jó ideje ismer a kiberbiztonsági szakma. Éppen ez lehet az oka annak, hogy meglepő módon sokan azt hiszik, hogy ezeket a technikákat már réges-régen kijavították, és már nem lehet visszaélni velük. Előadásban a szakértő bemutatta, hogy ezek a technikák még mindig felhasználhatók a rendszerek átvételére Windows környezetben.

Idén június 28-án kiberbiztonsági szakemberek egy kritikus távoli kódfuttatási biztonsági rést tettek  közzé, amely a Windows operációs rendszereket érinti. A sérülékenység lehetővé teszi hogy teljes mértékben feltörjék a hálózatot, és rosszindulatú vagy zsarolóprogramokat telepítsenek. A fenyegetésről napvilágott látott információ szerint a sebezhetőséget a globális kiberbűnözés piacán – amelyet a szakzsargonban csak „vadonnak” hívnak – aktívan kihasználják. A Microsoft a hivatalos menetrenden kívüli, sürgős javítást adott ki a biztonsági rés orvoslására. Ez a rés nem máshol tátongott, mint a Windows Print Spooler szolgáltatásban, és kiberbiztonsági körökben a „PrintNightmare” nevet kapta. Működésére nézve lehetővé teszi a távoli kódvégrehajtást (RCE-t) bármely kiszolgálón vagy munkaállomáson, ha a Print Spooler szolgáltatás engedélyezve van. Mivel ez a szolgáltatás alapértelmezés szerint minden gépen engedélyezve van, és mivel ez a sérülékenység gyakorlatilag lehetővé teszi a belső hálózat bármely felhasználója számára, hogy egy tartományvezérlő kihasználásával teljes mértékben feltörje az Active Directory tartományt, jelentős vonzerőt jelent a hackerek számára. A Microsoftnak a nyáron körülbelül 10 napba telt, amíg kiadta azokat a biztonsági javításokat az összes Windows-verzióhoz, amelyek orvosolják ezt a sebezhetőséget.

A „PrintNightmare” nem az első biztonsági probléma, amelyet a Print Spooler szolgáltatásban találtak, sőt, annyira nem az első, hogy egy időben a védekezéssel megbízott kollégák egyenesen annak letiltását tekintették a bevált biztonsági gyakorlatnak (Lásd a Microsoft Print Spooler-re vonatkozó ajánlását!) Számos további sebezhetőség került elő a szolgáltatással kapcsolatban, közülük az egyik legérdekesebb támadási vektor, melyet Martin Grottenthaler is megemlített előadásában, az általában csak „Printer Bugnak” nevezett hiba, melyet 2018-ban azonosítottak a biztonsági kutatók.

Az olyan kényszerítési technikák, mint a PetitPotam vagy a Printer Bug ugyanakkor önmagukban szerencsére nem képesek komoly hatást gyakorolni a kiberbűnözés piacára. A használatukkal lényegében arra utasítanak egy gépet, hogy csatlakozzon egy másik IP-címhez. Bár a Windows hitelesítési protokolljai hibásak, de ez a hiba nem olyan nagy mértékű, hogy ez önmagában lehetővé tenné egy rendszer feletti rendelkezés átvételét. „Ezzel pedig elérkeztünk ahhoz a paraméterhez, amely megteremtette az ilyen jellegű ‘sebezhetőségek’ fennmaradását és javítatlanságát”, ismertette Grottenthaler.

A paradox helyzet tehát az, hogy a nem elegendő mértékben komoly Windows hibák egyfajta evolúciós menekülőutat találtak a túléléshez, amiből kifolyólag komoly Windows-hibákká váltak, hiszen ma már senki sem számít rájuk. Mintha egy kutya méretű dinoszaurusz tűnne fel a Mátrában. Azért valószínűleg fájdalmasakat harapna, és nem szeretnénk összefutni vele, igaz?

Hogy vázolja a helyzet komolyságát, Martin Grottenthaler felhívta a figyelmet, hogy ezek a technikák más sebezhetőségek vagy rosszul konfigurált eszközök kihasználására is felhasználhatók. Az egyik jól ismert példa az Active Directory tanúsítványszolgáltatás. A PetitPotam egy rosszul konfigurált Active Directory tanúsítványszolgáltatással kombinálva lehetővé teheti a támadó számára, hogy könnyedén átvegye az irányítást egy teljes Windows tartomány felett. Ennek elkerülésére a Microsoft útmutatást is kiadott a környezet konfigurálásához, hogy elkerülhető legyen a sebezhetőség rosszindulatú kihasználása.

Kiadtak ugyan egy javítást is, de a PetitPotam kényszerítési technika még mindig hatékony, bár ma már valamivel nehezebb végrehajtani. Grottenthaler a Windows Print Spooler szolgáltatásának különböző típusú sebezhetőségeit is tárgyalta, különös tekintettel a Privilege Escalation és a távoli kódfuttatás témakörére. Ezek a sebezhetőségek ihlették cikkünk címét is, hiszen ebben az esetben a támadás a nyomtatót vezérlő rendszeren keresztül érkezik. Az előadó azt is megemlítette, hogy ezeknek a sebezhetőségeknek egyszerű az elhárítása, a tartományvezérlőn futó Print Spooler szolgáltatás elnyomásával. 

Ott lesz az a hibás konfig, csak meg kell keresni

Az előadásban szó esett az elsődleges a védekezéssel foglalkozó szakemberek előtt kevésbé ismert, de mégis előforduló rossz konfigurációkról, valamint azok megelőzésének módjairól. „Biztosra vehető, hogy még ha nem is találunk rosszul konfigurált Active Directory tanúsítványszolgáltatást az Active Directory-ban, akkor is van néhány gyakori hibás konfiguráció, amelyet a kényszerítési technikák segítségével ki lehet használni”, mondta el Martin Grottenthaler. Szerencsére az ilyen támadások elleni ellenintézkedések viszonylag egyszerűek és jól ismertek, és nagy valószínűséggel már javasolták is őket egy behatolásvizsgálati jelentésben a vállalat kiberbiztonsági szakemberei.

Aki megnézné Martin Grottenthaler teljes előadását, amit jó szívvel javaslunk is, az IDE kattintva teheti meg (03:59:24-04:38:25).

#Hacktivity egyetem cikksorozatunk következő része a viselkedésanalitikáról szól majd. Kiderül, hogyan állapítja meg a vállalati kiberbiztonsági rendszerfelügyelet, hogy a gyanús tevékenység csak a rendszergazda, vagy egy gengszterbanda műve.