Microsoft, yöneticilerin Windows Enterprise ortamlarını Krbrelayup saldırılarına karşı Windows kurumsal ortamlarını savunmasına yardımcı olacak, bu da saldırganların varsayılan yapılandırmalarla Windows sistemlerinde sistem ayrıcalıkları kazanmasını sağladı.
Saldırganlar, bu saldırıyı Rubeus, Krbrelay, SCMUACBYPASS, Powermad/Sharpmad, Whower ve ADCSPWN ayrıcalık artış araçları için açık kaynaklı bir ambalaj olarak güvenlik araştırmacısı Mor Davidovich tarafından geliştirilen Krbrelayup aracını kullanarak başlatabilirler.
Aracın GitHub'da ilk paylaşıldığı Nisan 2022'nin sonlarından bu yana, tehdit aktörleri Windows etki alanı ortamlarındaki sistemlere izinlerini varsayılan ayarlarla (LDAP imzasının uygulanmadığı) artırabilir.
Davidovich, Pazartesi günü Krbrelayup'un güncellenmiş bir sürümünü yayınladı ve LDAP imzalaması uygulandığında da çalışan ve Active Directory Sertifika Hizmetleri (AD CS) için kimlik doğrulama için genişletilmiş koruma (EPA) etkin değilse saldırganlara sistem ayrıcalıkları sağlayacak.
Bu, bu arada hiçbir düzeltme ilan edildi, bu yüzden tüm varsayılan yapılandırma Windows kurulumlarında sonsuza dek sıfır gün.
Microsoft, bu ayrıcalık yükseltme aracının bulut tabanlı Azure Active Directory ortamlarına sahip kuruluşlara karşı çalışmadığını söylüyor.
Bununla birlikte, Krbrelayup, etki alanı denetleyicilerinin Azure AD ile senkronize edildiği hibrid AD ortamlarında Azure sanal makinelerinin tehlikeye atılmasına yardımcı olabilir.
Zeev Rabinovich ve Microsoft 365 Defender araştırma ekibinden OFIR Shlomo, "Bu saldırı Azure Active Directory (Azure AD) için birleştirilmiş cihazlar için çalışmayacak olsa da, hibrid birleştirilmiş cihazlar şirket içi alan denetleyicileri savunmasız kalıyor." Dedi.
"Bir saldırgan senkronize bir hesap kullanarak Azure sanal makinesini tehlikeye atarsa, sanal makinede sistem ayrıcalıkları alırlar."
Microsoft, bu tür girişimleri engelleme ve kurumsal ağların Krbrelayup ambalajını kullanan saldırılardan savunma konusunda halka açık bir şekilde paylaşıldı.
Ancak, bu hafifletme önlemleri Microsoft 365 E5 abonelikleri olan kurumsal müşteriler için de mevcuttur.
Redmond'un önerileri uyarınca yöneticiler, LDAP sunucusu imzalamasını uygulayarak ve kimlik doğrulama için genişletilmiş koruma (EPA) sağlayarak LDAP istemcileri ve Active Directory (AD) etki alanı denetleyicileri arasında iletişimi güvence altına almalıdır.
Microsoft'un dediği gibi, kuruluşların "bu tehdidin etkisini azaltmak için" aşağıdaki hafifletmeleri uygulamaları tavsiye edilir: "
Microsoft 365 Defender Araştırma Ekibi, Krbrelayup saldırısının nasıl çalıştığı hakkında ek ayrıntılar ve burada cihaz yapılandırmalarının nasıl güçlendirileceği hakkında daha fazla bilgi sağlar.
Cisa, orgs'ı aktif olarak sömürülen Windows LPE hatasını yamaya uyarıyor
Kritik VMware Auth Bypass hatası için piyasaya sürülen istismar, şimdi yama
VMware Yamaları Kritik Auth Bypass kusurunu birden çok üründe
CISA, Windows Baskı Makaralı Hatası'nı kullanan saldırganları uyarıyor
CISA, siber saldırılarda kullanılan hataların listesine 41 güvenlik açığı ekler
Kaynak: Bleeping Computer