Le piratage récemment médiatisé du Comité national démocrate a remis en lumière une forme incroyablement courante de vol de données : les intrusions qui ciblent les e-mails. La réponse brusque à ces violations préconise souvent des contrôles tels que le chiffrement des messages et l’authentification à deux facteurs. En réalité, la prévention, la détection et la réponse à ces attaques sont beaucoup plus compliquées. Un réseau d’entreprise moyen offre une myriade d’opportunités aux attaquants de voler des e-mails, qu’il s’agisse d’une entreprise hautement axée sur un petit nombre d’utilisateurs, ou d’une tentative de collecte de données en masse au fil du temps.
Au cours des sept dernières années, j’ai travaillé avec de nombreuses organisations qui ont perdu des e-mails sensibles lors d’attaques ciblées. Dans cet article de blog, je couvrirai plusieurs techniques courantes que j’ai vues des attaquants utiliser, discuter de l’impact de l’authentification et du chiffrement, et soulignerai les façons dont Tanium peut aider à détecter et à répondre à ces méthodes.
Hypothèses sous-jacentes
Aux fins de cette publication, nous émettrons quelques hypothèses selon lesquelles je considère les « enjeux de table » pour toute intrusion ciblée d’un environnement Windows. Tout d’abord, établissons que l’organisation victime utilise Microsoft Exchange, qui reste la plateforme de messagerie d’entreprise la plus répandue. Supposons également que l’attaquant a déjà accédé au réseau interne de la victime et peut ensuite fonctionner à partir d’au moins l’un des points de vue suivants :
- Accès basé sur navigateur à un serveur de messagerie Web accessible en externe, tel qu’Outlook Web Access
- Un itinéraire vers les serveurs Exchange internes via (1) des systèmes précédemment rétroportés au sein du même réseau interne, ou (2) un VPN compromis ou une autre solution d’accès à distance
- Accès backdoor à un poste de travail de l’utilisateur final appartenant à une personne ciblée dont les e-mails présentent un intérêt
Enfin, nous supposerons que l’attaquant a compromis avec succès au moins l’un des types d’informations d’identification suivants :
- Un compte Active Directory privilégié appartenant à un administrateur Exchange ou Domain
- Un compte administrateur local commun qui peut être réutilisé pour les mouvements latéraux entre les PC victimes
- Un compte de domaine non privilégié appartenant à une personne ciblée dont les e-mails présentent un intérêt
En gardant cela à l’esprit, passons en revue quelques scénarios courants.
Les attaquants ciblent souvent Outlook Web Access (OWA)
Les pirates informatiques ciblent souvent Outlook Web Access (OWA) pendant la phase post-compromission d’une intrusion, c.-à-d. après le vol réussi d’informations d’identification. Il est particulièrement facile d’accéder à OWA s’il ne nécessite pas d’authentification à deux facteurs ou s’il n’est pas positionné derrière un VPN qui le fait. Une fois qu’un compte de domaine, ou tous les comptes de domaine, sont volés, il suffit de se connecter comme tout utilisateur normal. La détection de cette activité à grande échelle dans une grande organisation multinationale peut être difficile, en particulier si l’attaquant peut utiliser un accès basé sur navigateur à partir de n’importe quelle adresse source ou via n’importe quel point de saut à sa disposition.
Même si le webmail est positionné derrière un VPN, il peut toujours être exposé à un attaquant qui a pris pied sur le réseau interne. Les attaquants exploreront souvent si l’instance de messagerie Web accessible en interne est accessible avec des informations d’identification de domaine à facteur unique. Si tel est le cas, ils peuvent utiliser le logiciel malveillant de tunnellisation pour basculer à partir d’un hôte rétroporté existant et s’authentifier en tant qu’utilisateur d’intérêt.
Le chiffrement vous aiderait-il ?
Si l’organisation utilise S/MIME avec Outlook Web Access, seul Internet Explorer peut être utilisé pour lire les e-mails cryptés. De plus, la clé privée nécessaire pour déchiffrer les messages doit être installée sur le magasin de certificats de l’endpoint local. L’attaquant doit ainsi accéder à la clé privée de l’utilisateur victime, ou utiliser l’accès à distance au propre PC de la victime pour accéder aux e-mails en son nom. Aucun ne constituerait un obstacle significatif dans une compromission à l’échelle du domaine.
Si l’organisation utilise d’autres méthodes de chiffrement, telles que le PGP, l’attaquant devra à nouveau récupérer les clés privées et les phrases clés du système de l’utilisateur ciblé. Étant donné une compromission à l’échelle du domaine, il peut être difficile d’empêcher un pirate d’accéder au système d’un utilisateur spécifique. Cependant, cela oblige l’attaquant à passer d’un comportement opportuniste (« Je peux faire passer l’e-mail d’Adam de n’importe quel point de vue ») à un comportement ciblé (« Tout d’abord, je dois compromettre le système d’Adam... »).
Il convient de garder à l’esprit que les utilisateurs prendront souvent le chemin de la moindre résistance lors de l’utilisation d’un service tel que le webmail. Cela se traduit souvent par l’échange de messages non cryptés lors de l’utilisation de leurs propres ordinateurs ou autres navigateurs, offrant ainsi une opportunité de vol de données plus facile, bien que dans un périmètre plus restreint d’e-mails.
Comment Tanium pourrait-il détecter cela ?
Une organisation n’aurait évidemment pas de visibilité sur un endpoint appartenant à un attaquant utilisé pour accéder directement à OWA sur Internet à l’aide d’informations d’identification précédemment volées. Cela réduit les sources de preuves disponibles pour le trafic réseau et les données de journal sur les serveurs de messagerie eux-mêmes. La centralisation des événements d’authentification Outlook Web Access dans un SIEM, ainsi que les journaux du serveur Web, peut grandement faciliter les enquêtes après les faits. En fonction de l’architecture réseau, vous devrez peut-être également corréler quelques sources de données pour obtenir l’IP source réelle pour les demandes de messagerie Web entrantes.
Tanium fournit un package Copy Tools qui peut collecter et distribuer automatiquement les journaux des endpoints vers un emplacement centralisé pour l’ingestion et le post-traitement. Dans des cas précédents, j’ai travaillé avec des enquêteurs qui ont réussi à distinguer l’accès malveillant de l’accès OWA légitime pour un compte compromis à l’aide d’agents d’utilisateur de navigateur enregistrés dans les journaux d’accès, en conjonction avec le temps d’accès et les adresses source.
Si l’attaquant accède au webmail via un système interne compromis, cela fournit beaucoup plus de sources de preuves sur les endpoints utilisés pour le « pivotement ». En fonction des moyens d’accès, Tanium fournit des sensors qui peuvent rechercher des entrées locales** Journal des événements de sécurité**, Historique du navigateur etProcessus exécutésTrace qui incluent le contexte utilisateur pour les événements historiques. Par exemple, un pirate utilisant Internet Explorer via une porte dérobée sur le système d’un utilisateur infecté peut produire des entrées d’historique de navigateur sous le profil d’un contexte système, plutôt que sous le propre profil d’utilisateur du dépositaire. Ces entrées sont souvent suffisamment anormales pour justifier une enquête plus approfondie.
Récolter des e-mails à partir d’Exchange Server avec PowerShell
Étant donné les racines de PowerShell dans la gestion des serveurs Microsoft Exchange, il ne devrait pas être surprenant qu’il puisse être utilisé pour accéder aux boîtes aux lettres des utilisateurs et récupérer ou envoyer des messages. J’ai été témoin de plusieurs intrusions dans lesquelles des attaquants ont utilisé des scripts PowerShell malveillants pour collecter des e-mails. Cette approche nécessite une dépendance, la bibliothèque Exchange Web Services (EWS)[1], qui n’est pas incluse avec PowerShell par défaut.
En pratique, l’utilisation d’EWS implique simplement d’inclure une seule DLL, « Microsoft.Exchange.WebServices.dll », ainsi que le code PowerShell. Une publication utile sur Stack Overflow[2] montre à quel point il est facile pour un script de récupérer des messages de cette manière.
Le chiffrement vous aiderait-il ?
Si l’attaquant exécute le script PowerShell à partir du propre système de l’utilisateur ciblé et dans le contexte de son compte de domaine, il aura accès à la clé privée dans le magasin de certificats Windows nécessaire au décryptage S/MIME. Comme indiqué précédemment, si une autre méthode de chiffrement telle que PGP devait être utilisée, l’attaquant devrait subir des étapes supplémentaires pour récupérer la clé et la phrase secrète nécessaires pour afficher les messages récupérés.
Comment Tanium pourrait-il détecter cela ?
Tanium Trace enregistre en continu l’activité de connexion réseau ainsi que le processus associé et le contexte de l’utilisateur. L’un de nos tableaux de bord de recherche utilise le sensor Trace Network Connections pour fournir une vue filtrée de toutes les instances de PowerShell qui ont établi des connexions aux ports 80 et 443. À l’exception des administrateurs Exchange, cette utilisation de PowerShell serait anormale sur la plupart des systèmes d’utilisateurs finaux ou d’autres types de serveurs. Nos clients utilisent généralement la fonctionnalité Groupes d’ordinateurs de Tanium, en conjonction avec ces types de tableaux de bord de surveillance, pour faire ressortir ce type d’activité malveillante avec une plus grande fidélité.
Une autre approche consisterait à rechercher la présence ou l’utilisation de la bibliothèque « Microsoft.Exchange.WebServices.dll » sur les endpoints. Les utilisateurs Tanium peuvent exécuter les sensors Index Query pour rechercher l’ensemble du disque dur de tous les systèmes en quelques secondes pour cette bibliothèque par nom ou hachage. En outre, les sensors Modules chargés peuvent identifier tous les systèmes qui ont chargé cette bibliothèque en mémoire. Une fois encore, les groupes d’ordinateurs peuvent ajouter une perspective supplémentaire pour distinguer l’utilisation attendue de cette bibliothèque par rapport à l’utilisation inattendue.
Outils d’interface de programmation d’application (MAPI) de messagerie
MAPI / RPC est le protocole standard qu’Outlook utilise pour prendre en charge les serveurs Exchange. Étant donné qu’il est documenté et disponible via une variété d’API, d’autres applications Windows peuvent l’utiliser. Par exemple, « MAPIGET.EXE », l’un des utilitaires mis en évidence dans le rapport 2010 de Mandiant sur APT1, se connecte aux serveurs Exchange via MAPI et a volé des informations d’identification NTLM pour collecter les messages et pièces jointes d’un compte ciblé. Pour les systèmes sur lesquels Outlook est installé, les langages de script tels que VBS et VBA peuvent également utiliser son espace de noms MAPI pour interagir avec une boîte de réception et récupérer des e-mails, bien que soumis à des contrôles qui peuvent varier en fonction de la version d’Outlook installée et de ses paramètres.
Du point de vue de la surveillance du réseau, notez que l’utilisation de RPC par MAPI entraîne la connexion des clients aux serveurs Exchange à l’aide d’une large gamme de ports numérotés élevés, plutôt qu’un port de service fixe unique. Si Exchange est configuré avec la fonction « Outlook Anywhere », les clients peuvent se connecter via RPC via le port HTTPs 443.
Le chiffrement vous aiderait-il ?
De nombreux outils basés sur MAPI récupèrent simplement les messages chiffrés S/MIME comme pièce jointe « smime.p7m” ». Comme indiqué précédemment dans nos autres scénarios, si l’attaquant fonctionne sur le propre endpoint de l’utilisateur victime et dispose de privilèges suffisants, il peut accéder au magasin de certificats Windows.
Comment Tanium pourrait-il détecter cela ?
Les sensors Connexions établies et Connexions réseauTrace peuvent produire une sortie empilable qui permet aux analystes de comparer immédiatement le nom, le chemin et le hachage de tout processus qui se connecte aux adresses du serveur Exchange et aux plages de ports. Les analystes peuvent explorer plus en détail les processus exécutés parTrace pour obtenir les lignes de commande et l’ascendance de tout événement suspect. La surveillance de ces données peut permettre à une organisation de repérer les applications indésirables qui tentent de communiquer avec l’infrastructure du serveur de messagerie.
Vol de la boîte aux lettres Outlook locale et des fichiers d’archive
Presque tous les utilisateurs d’Outlook connaissent les fonctionnalités hors ligne et d’archive de la boîte aux lettres de l’application. Du point de vue d’un attaquant, il s’agit comme tout autre fichier sur l’endpoint : ils peuvent être copiés, archivés et transférés à l’aide de commandes de système d’exploitation natives ou à l’aide de fonctionnalités communes à de nombreuses portes dérobées. Deux facteurs limitants peuvent être la taille de ces fichiers, et si l’utilisateur a choisi de les protéger par mot de passe.
Le chiffrement vous aiderait-il ?
Si vous avez lu jusqu’à présent, vous avez probablement déjà deviné la réponse. Si l’attaquant a accès aux archives Outlook de la victime sur son propre PC, il peut probablement accéder à tout ce qui se trouve dans le magasin d’informations d’identification Windows ou utiliser l’enregistrement de clé ou d’autres techniques pour récupérer d’autres informations d’identification.
Comment Tanium pourrait-il détecter cela ?
Le sensor Trace File Operations peut être utilisé pour créer une recherche filtrée ou un tableau de bord qui suit la création ou la modification des fichiers de boîte aux lettres Outlook dans des emplacements atypiques, ou par des processus aberrants. De même, les sensors Index Query de Tanium peuvent rechercher des fichiers de boîte aux lettres au repos dans l’ensemble de l’entreprise.
Journalisation des frappes et mise au rebut de l’écran
Tout logiciel malveillant exécuté dans un contexte suffisamment privilégié sur un système infecté peut enregistrer toutes les frappes et capturer périodiquement le contenu des fenêtres ou de l’écran entier. Nombre de ces outils peuvent être configurés pour capturer uniquement des données qui correspondent à des modèles configurés par les attaquants ou à partir d’applications ou de titres de fenêtre spécifiques. Le contenu de tout e-mail consulté par l’utilisateur final pourrait être exposé de cette manière. Bien sûr, cette approche n’est pas idéale si l’attaquant souhaite récolter rapidement un grand volume d’e-mails et a une portée limitée : le système de chaque utilisateur victime doit être infecté et le logiciel malveillant peut capturer une quantité importante de données étrangères au fil du temps.
Le chiffrement vous aiderait-il ?
Non. S’il est à l’écran ou saisi, il est exposé.
Comment Tanium pourrait-il détecter cela ?
Il existe d’innombrables façons de mettre en œuvre des backdoors, des enregistreurs de frappe, des captures d’écran/grattoirs et d’autres logiciels malveillants connexes. Il n’existe donc pas de technique unique pour tout détecter. Cependant, j’ai souvent découvert que l’analyse des mécanismes de persistance est un moyen efficace de s’attaquer au dénominateur le plus faible-commun de ces logiciels malveillants. Si l’attaquant souhaite collecter des données à partir d’un endpoint au fil du temps, son logiciel malveillant doit survivre au redémarrage.
De nombreux clients Tanium utilisent nos sensors liés à la persistance, tels que Autorun Program Details, Trace Loaded Drivers, DLL Load Order Hijacking Search, Service Module Details et WMI Event Consumers pour détecter les binaires et scripts suspects dans l’ensemble de l’entreprise.
Une fois qu’un enquêteur a identifié un logiciel malveillant qui produit des journaux de frappe ou des captures d’écran, il peut également déterminer qu’il utilise une convention de dénomination cohérente des fichiers de sortie. Le sensor Trace File Operations peut aider à identifier les opérations de fichier historiques qui correspondent à un nom ou un format de chemin particulier ; les sensors Index Query peuvent également trouver des fichiers au repos correspondant à un modèle, ou même à une séquence d’octets d’en-tête, n’importe où sur le disque.
Autres méthodes et réflexions de conclusion
Cette publication ne fait que gratter la surface des façons dont les attaquants peuvent voler des e-mails sur l’ordinateur d’une victime ou sur un réseau d’entreprise compromis. Les autres techniques comprennent :
- Configuration d’Exchange pour transférer subrepticement les e-mails d’un utilisateur à une adresse tierce
- Les utilisateurs transmettent intentionnellement leur propre e-mail à une adresse e-mail personnelle qui est ensuite compromise
- Les frameworks d’exploitation du navigateur, tels que BEEF[3], qui peuvent surveiller secrètement l’activité du webmail et d’autres données dans le navigateur.
- Ciblage des logiciels internes utilisés pour l’archivage des e-mails internes (c.-à-d. pour l’assistance aux litiges et aux audits)
- tromper les victimes en utilisant une application mobile malveillante qui usurpe l’identité de clients de messagerie légitimes
- ... et d’innombrables autres...
La sécurisation des e-mails d’entreprise, comme tout autre actif, nécessite une modélisation minutieuse des menaces. Considérez que les attaquants suivent généralement la voie de la moindre résistance pour atteindre leurs objectifs, de sorte que chaque voie d’attaque n’est pas nécessairement un vecteur probable ou pratique qui nécessite un investissement égal dans les contre-mesures.
Dans un réseau Windows plat typique, les compromis localisés sur une poignée de systèmes peuvent rapidement s’épanouir en une violation plus importante à l’échelle du domaine ; d’autre part, infecter les utilisateurs individuels d’intérêt peut être « suffisamment bon » pour un intrus intéressé par un champ de données plus restreint. De même, le chiffrement des messages n’est pas une panacée pour tous ces vecteurs d’attaque. Mais cela peut forcer un pirate informatique à fonctionner via un ensemble plus restreint de systèmes victimes, plutôt que de faciliter un accès opportuniste aux messages de n’importe quel compte à partir de n’importe quel point pivot sur le réseau.
L’étendue des techniques disponibles pour voler des e-mails est stupéfiante, et ce ne sont pas seulement des cibles de haute visibilité confrontées à cette menace. Une visibilité complète des endpoints pour les détecter et les combattre est le meilleur moyen de garantir la sécurité de vos e-mails.
[1] https://github.com/officedev/ews-managed-api
[2] http://stackoverflow.com/questions/4454165/how-to-check-an-exchange-mailbox-via-powershell
[3] http://null-byte.wonderhowto.com/how-to/hack-like-pro-hack-web-browsers-with-beef-0159961/
À propos de l’auteur : Dans son rôle d’architecte en chef de la sécurité de Tanium, Ryan Kazanciyan apporte plus de 14 ans d’expérience dans la réponse aux incidents, l’analyse médico-légale et les tests de pénétration. Ryan supervise la conception et la feuille de route des offres de réponse aux menaces de Tanium et dirige l’équipe de détection et de réponse aux endpoints (EDR) de Tanium. Avant de rejoindre Tanium, Ryan supervisait les efforts d’enquête et de remédiation chez Mandiant, en s’associant à des dizaines d’entreprises du Fortune 500 touchées par des attaques ciblées. Ryan a formé des centaines d’intervenants en cas d’incident en tant qu’instructeur pour Black Hat et l’équipe informatique du FBI. Il est un auteur contributeur pour « Incident Response and Computer Forensics 3rd Edition » (McGraw-Hill, 2014). Ryan travaille également comme consultant technique pour la série télévisée « M. Robot », où il collabore avec les écrivains et l’équipe de production pour concevoir les piratages décrits dans l’émission.
