Güvenlik araştırmacıları, bilgisayar korsanlarının bir Windows etki alanı denetleyicisinin kolayca kontrol altına almalarını sağlayan yakın zamanda açıklanan Petitpotam saldırı vektörünü engellemenin bir yolunu geliştirmiştir.
Geçen ay, güvenlik araştırmacısı Gilles Lionel, bir Windows etki alanı denetleyicisi de dahil olmak üzere bir Windows Makinesi de dahil olmak üzere bir Windows Makinesi, Microsoft Şifreleme Dosya Sistemi Uzak Protokolü (EFSRPC) kullanılarak bir tehdit aktörünün kötü niyetli NTLM röle sunucusuna karşı kimliğini doğrulamak için Petitpotam adlı yeni bir yöntem açıkladı.
Tehdit aktörleri, bu kimlik doğrulama talebini HTTP ile HTTP üzerinden hedeflenen bir etki alanının Active Directory sertifikası servislerine geçer., Burada saldırganın Kerberos Bilet Verme Bileti (TGT) verileceği, etki alanı denetleyicisinin kimliğini üstlenmesine izin verir.
Vektörün açıklandıktan sonra, araştırmacılar, yöntemi hızla test etmeye başlar ve kimlik bilgilerini düşürmenin ve bir Windows etki alanını devralmasının ne kadar kolay olduğunu göstermiştir.
Bu saldırıyı kullanarak, bir tehdit oyuncusu, yeni grup politikalarını, komut dosyalarını ve kötü amaçlı yazılımları fidye yazılımı gibi tüm cihazlara dönüştüren bir Windows etki alanı üzerinde tam kontrol alabilir.
Geçtiğimiz hafta, Microsoft, NTLM röle saldırılarını nasıl azaltılacağını açıklayan 'Active Directory Sertifika Hizmetleri'ne (AD CS)' nin Alectiging NTLM Röle saldırıları başlıklı bir danışma bıraktı.
"NTLM etkinliğine sahip NTLM röle saldırılarını önlemek için, etki alanı yöneticileri, NTLM kimlik doğrulamasına izin veren hizmetlerin, Microsoft'un danışmanlığını açıkladı."
"Petitpotam, Active Directory Sertifika Hizmetleri (AD CS) NTLM röle saldırıları için korumalarla yapılandırılmadığı sunuculardan yararlanıyor. KB5005413'te belirtilen azaltıcılar, müşterilere reklam cs sunucularını bu tür saldırılardan nasıl korunacağına dair talimat verir."
Microsoft'un önerileri NTLM röle saldırılarını engelleyebilirken, diğer saldırılar için bir vektör olarak kullanılabilecek Petitpotam'ı engelleme konusunda herhangi bir rehberlik etmemektedir.
Lionel, "Bu makine hesabının yerel yönetici olduğu bilgisayarlarda NTLMV1 düşürme ve aktarma makinesi hesabındaki farklı saldırılar için de kullanılabilir" dedi.
Microsoft'un Petitpotam, Ciddersam ve Printnightmare gibi son güvenlik açıklarına olan yanıtı, Microsoft'un müşterilerini korumak için yeterince yapmadığını düşünen güvenlik araştırmacıları için çok önemliydi.
Genel olarak #Microsoft pozisyonumu açıklığa kavuşturmak istiyorum Son 10 yılda birçok şey gelişti .. Özellikle Windows 10/2016. Bugün orada çok saygı duyduğum birçok güvenlik araştırması. Microsoft'un sonuncusuna cevabını eleştiririm ..
İyi haber, araştırmacıların yerel EFS işlevselliğini etkilemeden Netsh filtreleri kullanarak uzak unutmayıcı olmayan petitpotam saldırı vektörünü engellemenin bir yolunu çözmeleridir.
Netsh, yöneticilerin ağ arayüzlerini yapılandırmalarını, filtreler eklemelerini ve Windows Güvenlik Duvarı yapılandırmasını değiştirmelerini sağlayan bir Windows komut satırı yardımcı programıdır.
Bu hafta sonu, Craig Kirby, MS-EFSRPC API'sine uzaktan erişimi engelleyen bir Netsh RPC filtresini paylaştı, Etkinleştirilmemiş Petitpotam saldırı vektörünü etkili bir şekilde engelliyor.
Güvenlik Araştırmacısı Benjamin Delpy'ye göre, aşağıdaki içeriği 'block_efsr.txtt' adlı bir dosyaya kopyalayarak ve masaüstünüzde kaydederek bu filtreyi kullanabilirsiniz.
Şimdi yükseltilmiş bir komut istemini açın ve filtreyi netsh kullanarak içe aktarmak için aşağıdaki komutu yazın.
Aşağıdaki komutu çalıştırarak filtrelerin eklendiğini doğrulayabilirsiniz:
Komutu çalıştırdıktan sonra, Netsh, bir tane C681D488-D850-11D0-8C52-00C04FD90F7E için bir diğeri, aşağıda gösterildiği gibi DF1941C5-Fe89-4E79-BF10-463657ACF44D için iki filtre göstermelidir.
Bu filtreler yerine, petitpotam vektörü artık çalışmaz, ancak EFS cihazda normal olarak çalışmaya devam edecektir.
Microsoft, bu vektörü önlemek için API'yi hiç düzeltiyorsa, aşağıdaki komutu kullanarak filtreleri kaldırabilirsiniz:
FilingKey, yukarıda açıklandığı gibi yapılandırılmış filtrelerin listesini görüntülerken bulunur.
Yeni PetitPotam saldırısı, Windows Etki Alanlarının devralmasını sağlar
Lockbit Ransomware şimdi Grup İlkeleri Kullanarak Windows Etki Alanlarını Şifreler
Microsoft Yeni Petitpotam NTLM Röle Saldırı için Mitigasyon Paylaşımı
Microsoft, Yeni Windows Yazdırma Biriktiricisi Güvenlik Açığı Üzerine Rehberlik Paylaşır
Genel Windows PrintNightMare 0 günlük Exploit etki alanı devralınmasına izin verir
Kaynak: Bleeping Computer