互联网爱好者创业的站长之家 – 南方站长网
您的位置:首页 >运营 >

Windows 365被曝以明文形式转储Microsoft Azure凭据

时间:2021-08-14 15:48:35 | 来源:cnBeta

原标题:Windows 365被曝以明文形式转储Microsoft Azure凭据 来源:cnBeta.COM

一位安全研究人员,刚刚找到了一种利用 Mimikatz,从微软 Windows 365 Cloud PC 服务中转储用户未加密的明文 Microsoft Azure 凭据的方法。据悉,Mimikatz 是由 Benjamin Delpy 创建的开源网络安全项目,允许研究人员测试各种凭证窃取和模拟漏洞。

mimikatz 的 GitHub 项目主页写道,其具有从内存中提取明文密码、哈希、PIN 码和 kerberos 凭证等功能。

尴尬的是,尽管 mimikatz 是专为安全研究人员而创建的,但由于各种模块的功能相当强大,威胁行为者也能够利用这把双刃剑,从 LSASS 进程的内存中转储纯文本密码、或执行 NTLM 哈希传递攻击。

此外攻击者可在整个网络中横向传播,直到他们夺取并接管 Windows 域控制器的控制权。

dump Windows365 Azure passwords in the Web Interface

8 月 2 日,微软推出了基于 Windows 365 的云桌面服务,允许用户租用云 PC、并通过远程桌面客户端或浏览器进行访问。

虽然微软提供了虚拟 PC 的免费试用版,但名额很快被抢购一空。Benjamin Delpy 在接受 BleepingComputer 采访时称,自己有幸获得了一个能够测试这项新服务安全性的机会。

结果发现,Windows 365 云 PC 竟然允许恶意程序转储 Microsoft Azure 登录用户的明文邮件地址和密码。

按照既有的技术设定,终端服务器进程将要求内核为其进行解密。

然而通过 2021 年 5 月发现的一个漏洞,他还是顺利完成了转储登录终端服务器用户的明文凭据的相关操作。

尽管用户的终端服务器凭据在存储于内存中时会被加密,但 Delpy 声称可以通过欺骗终端服务进程的方式来解密。

此外由于使用了RDP远程桌面协议,这套攻击方案也适用于Web浏览器。

尽管需要具有管理员权限才能运行 mimikatz,普通账户的用户无需太过担心。

但若攻击者获得了 Windows PC 设备的访问权限以运行相关命令,后果就难以想象了。

比如,假设你在 Windows 365 云 PC 上打开了带有恶意附件的网络钓鱼电子邮件,并且逃过了系统自带的 Microsoft Defender 安全软件的眼线。

那样一旦你启用了文档中的恶意宏,它就可以安装远程访问程序,以便攻击者对 Cloud PC 展开进一步的渗透。

在利用 PrintNightmare 等漏洞来获得管理员权限之后,借助 mimikatz 转储明文凭据等操作都将唾手可得。

更别提威胁行为者会结合多重手段,向其它 Microsoft 服务和可能的企业内部网络来横向传播。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如有侵权行为,请第一时间联系我们修改或删除,多谢。