این گزارش به بررسی یک سناریوی پیشرفته نفوذ در محیط Active Directory (AD) می‌پردازد که با فرض نفوذ اولیه (Assume Breach) آغاز شده است. هدف این تحلیل، نمایش زنجیره‌ای از حملات است که از سوءاستفاده از قابلیت‌های مدیریتی AD شروع شده و به استخراج اعتبارنامه‌های سطح بالا از طریق فایل‌های بک‌آپ ماشین‌های مجازی ختم می‌شود.
۱. سوءاستفاده از AD Recycle Bin و بازیابی حساب‌ها
در این سناریو، حساب کاربری alex.turner دارای دسترسی‌های غیرمعمولی بر روی کانتینر Deleted Objects در AD Recycle Bin است. برخلاف حالت استاندارد که تنها گروه‌های مدیر به این بخش دسترسی دارند، این حساب می‌تواند DACL (لیست کنترل دسترسی) را تغییر دهد.
- مرحله بازیابی: با استفاده از ابزار
bloodyAD، کاربر حذف شده‌ای به نامmark.daviesاز سطل زباله بازیابی می‌شود. - استفاده از رمز عبور پیش‌فرض: از آنجایی که حساب بازیابی شده ویژگی‌های خود را حفظ می‌کند، می‌توان با استفاده از رمز عبور پیش‌فرض سازمان (Default Password)، به حساب
mark.daviesدسترسی پیدا کرد.
۲. نفوذ از طریق افزونه‌های مخرب VS Code
پس از به‌دست آوردن دسترسی به حساب بازیابی شده، هدف بعدی دسترسی به یک Shell (شل) در شبکه است. در این مرحله، از یک پوشه اشتراکی (Share) به نام DevDrop استفاده می‌شود که وظیفه نگهداری افزونه‌های تایید شده VS Code را دارد.
- ایجاد افزونه مخرب: یک افزونه .vsix ساخته می‌شود که حاوی یک Reverse Shell (شل معکوس) مبتنی بر Node.js است.
- اجرای خودکار: با قرار دادن این افزونه در پوشه اشتراکی، فرآیند همگام‌سازی (Sync Job) خودکار، افزونه را نصب و فعال می‌کند که منجر به برقراری اتصال از مهاجم می‌شود.
۳. بهره‌برداری از حساب‌های dMSA (تکنیک BetterSuccessor)
پس از نفوذ، هدف ارتقای سطح دسترسی از طریق حساب‌های dMSA (حساب‌های سرویس مدیریت‌شده تفویض‌شده) است. اگرچه آسیب‌پذیری BadSuccessor در نسخه‌های جدیدتر وصله شده است، اما تکنیک BetterSuccessor همچنان کارایی دارد.
این تکنیک زمانی کاربرد دارد که مهاجم بتواند بر روی حساب هدف حق نوشتن (Write Access) داشته باشد. با ایجاد یک لینک دوطرفه بین یک حساب dMSA و یک حساب هدف، مهاجم می‌تواند از طریق Kerberos Delegation، توکن‌های دسترسی حساب هدف را دریافت کند. در این سناریو، این روش برای رسیدن به حساب svc_deploy استفاده شد.
۴. استخراج اعتبارنامه‌ها از بک‌آپ‌های VMware
در مرحله نهایی، دسترسی به پوشه اشتراکی VMBackups امکان‌پذیر می‌شود. این پوشه حاوی فایل‌های ماشین‌های مجازی (VMware) از جمله فایل‌های .vmdk (دیسک مجازی) و .vmsn (Snapshot حافظه) است.
استفاده از ابزار vmkatz به مهاجم اجازه می‌دهد تا بدون نیاز به خروج (Exfiltration) حجم عظیم داده‌ها، مستقیماً از فایل‌های Snapshot حافظه، اعتبارنامه‌ها را استخراج کند:
- استخراج هش: با تحلیل فایل .vmsn، هش NTLM مربوط به حساب Domain Administrator از حافظه (Memory) استخراج می‌شود.
- نتیجه نهایی: استفاده از این هش (Pass-the-Hash) منجر به تسلط کامل بر دامنه (Domain Compromise) می‌گردد.
