Istraživači su otkrili novu tehniku kojom se iskorištava Microsoft Azure Arc za eskalaciju privilegija u hibridnim okruženjima preduzeća i održavanje postojanosti.
Ovo je rezultat istraživanja provedenog tokom nedavnih operacija timova za crveno testiranje, a otkriva kako neprijatelji mogu iskoristiti pogrešno konfigurirane Azure Arc instalacije za povećanje ovlasti sa cloud okruženja na lokalne sisteme, te održavanje dugoročne prisutnosti putem legitimnih Microsoftovih usluga.
Azure Arc, Microsoftova platforma za upravljanje hibridnim oblakom, proširuje izvorne mogućnosti upravljanja Azurea na lokalne sisteme, Kubernetes klastere i druge resurse koji nisu u Azureu. Iako je osmišljena za pojednostavljenje upravljanja hibridnom infrastrukturom, mehanizmi implementacije i procesi konfiguracije ove usluge otvorili su nove vektore napada koje ciljani akteri mogu iskoristiti.
Istraživanje pokazuje kako napadači mogu identificirati Arc implementacije u korporativnim okruženjima i zloupotrijebiti uobičajene pogrešne konfiguracije kako bi postigli izvršavanje koda sa privilegijama na nivou sistema. Tehnike napada se fokusiraju na iskorištavanje vjerodajnica principalova servisa (Service Principal credentials) koje su često kodirane u skripte za implementaciju ili pohranjene na pristupačnim mrežnim dijeljenjima. Ove vjerodajnice, prvobitno namijenjene za automatsku registraciju Arc klijenata, mogu povratiti napadači koji steknu pristup infrastrukturi za implementaciju ili konfiguracijama politika. Nakon preuzimanja, ove vjerodajnice se mogu iskoristiti za izvršavanje proizvoljnog koda na sistemima upravljanim putem Arc-a, koristeći razne interfejse za upravljanje Azureom.
IBM analitičari su identificirali više vektora implementacije koji unose sigurnosne ranjivosti. Među njima su PowerShell skripte sa ugrađenim tajnama, pogrešno konfigurirane implementacije System Center Configuration Manager (SCCM), te Group Policy Objects (GPO) koji pohranjuju šifrirane vjerodajnice koristeći DPAPI-NG. Istraživački tim je primijetio da ove metode implementacije, iako prate službena Microsoftova uputstva, često rezultiraju izlaganjem vjerodajnica zbog prekomjerno permisivnih kontrola pristupa i neadekvatnih praksi upravljanja tajnama.
Najznačajnije otkriće uključuje iskorištavanje DPAPI-NG šifriranih tajni pohranjenih u dijeljenjima za implementaciju Azure Arc-a. Kada se Arc implementira putem grupne politike, administratori kreiraju mrežna dijeljenja koja sadrže datoteke za implementaciju, uključujući i datoteku “encryptedServicePrincipalSecret” zaštićenu DPAPI-NG šifriranjem. Međutim, ovo šifriranje je konfigurisano tako da omogući svakom članu grupe domenaskih računara da dešifruje tajnu, čime je efektivno čini dostupnom svakom kompromitovanom sistemu u domeni. Proces dešifriranja podrazumijeva pristup dijeljenju za implementaciju i korištenje PowerShell komandi za preuzimanje šifriranog blob-a. Napadači mogu izvršiti sljedeću tehniku sa bilo kojeg sistema koji posjeduje NT_AUTHORITY\SYSTEM privilegije. Ova metoda oporavka vjerodajnica pruža napadačima pristup principalu servisa koji se može odmah iskoristiti za izvršavanje koda na sistemima upravljanim putem Arc-a. Istraživanje pokazuje da ove povratne vjerodajnice često posjeduju povišene ovlasti izvan njihovog predviđenog opsega, uključujući ulogu “Azure Connected Machine Resource Administrator”, koja dodjeljuje sveobuhvatne mogućnosti upravljanja implementacijama Arc-a.