फिशनेट मामले - Microsoft Azure एक फ़िशिंग हमले के संचालन में कैसे मदद करता है

हम फास्ट ट्रैक OFFZONE-2019 में अपने प्रदर्शन के नक्शेकदम पर एक लेख प्रकाशित कर रहे हैं, रिपोर्ट के साथ "फिशनेट सौदे - Microsoft Azure एक फ़िशिंग हमले के संचालन में कैसे मदद करता है।"

दुर्भावनापूर्ण अनुलग्नकों के वितरण के साथ एक फ़िशिंग हमले का संचालन करते समय, मुख्य समस्या पीड़ित के मेल सर्वर पर स्पैम फिल्टर को बायपास करना है। Microsoft क्लाउड में कई कंपनियों के मेल होते हैं - इसलिए आपको Microsoft प्रशिक्षित स्पैम फिल्टर को खिसकाने के लिए दुर्भावनापूर्ण अनुलग्नक के लिए मेलिंग लिस्ट गुरु होना चाहिए।

RedTeam का संचालन करते समय, हम उपयोगकर्ताओं द्वारा उपयोग किए जाने वाले कानूनी साधनों का उपयोग करने का प्रयास करते हैं। उदाहरण के लिए, कंपनी में वीपीएन सेवा की मौजूदगी हमें उपयोगकर्ता के अधिकारों के साथ कंपनी में प्रवेश करने में मदद करती है और साथ ही न्यूनतम संदेह का कारण बनती है (या बिल्कुल भी कारण नहीं)।

यह देखने के लिए एक विचार था कि Microsoft हमारी कैसे मदद कर सकता है। हमने इस बात पर ध्यान दिया कि Microsoft किस प्रकार की सुरक्षा प्रदान करता है और यह देखने का निर्णय लिया है कि इस तरह की Azure Information Protection किस प्रकार की जानवर है।

Azure सूचना सुरक्षा

इस अध्ययन में, हम एज़्योर इंफॉर्मेशन प्रोटेक्शन (एआईपी) पर विचार करेंगे, जो एक उपकरण है जो आपको गोपनीयता की उनकी डिग्री के अनुसार दस्तावेजों को वर्गीकृत करने और संगठन के विभिन्न उपयोगकर्ताओं के लिए उन तक पहुंच को प्रतिबंधित करने की अनुमति देता है।

इसका उपयोग करना बहुत सरल है - सॉफ्टवेयर डाउनलोड किया जाता है, जिसकी मदद से प्रत्येक दस्तावेज़ के लिए कुछ अधिकार निर्धारित किए जा सकते हैं। प्रत्येक कंपनी के लिए लेबल और गोपनीयता स्तर कॉन्फ़िगर किए गए हैं - व्यवस्थापक के पास ऐसे अधिकार और दायित्व हैं। डिफ़ॉल्ट रूप से, केवल 2 स्तर बनाए जाते हैं - गोपनीय और अत्यधिक गोपनीय।



व्यक्तिगत उपयोगकर्ताओं तक पहुंच की अनुमति देना और दस्तावेज़ का उपयोग करने के लिए उन्हें अधिकार प्रदान करना भी संभव है। उदाहरण के लिए, यदि आपको किसी विशिष्ट उपयोगकर्ता को किसी दस्तावेज़ में कुछ भी बदलने में सक्षम होने की आवश्यकता नहीं है, लेकिन जानकारी प्राप्त करने के लिए, आप विशेष रूप से उसके लिए व्यूअर मोड सेट कर सकते हैं।



Azure सूचना सुरक्षा Office365 के साथ एकीकृत है और उपयोगकर्ता को दस्तावेज़ खोलने और इसके साथ अनुमत कार्यों को करने के लिए (रीडिंग से संपादन और दस्तावेज़ के पूर्ण अधिकार तक) अतिरिक्त सॉफ़्टवेयर की आवश्यकता नहीं है।

Office365 के लिए AIP का उपयोग नहीं करते समय - संरक्षित दस्तावेज़ में pfile एक्सटेंशन है और इसे Azure सूचना सुरक्षा दर्शक के बिना खोलना संभव नहीं है।
सामान्य तौर पर, समाधान दिलचस्प लग रहा था और हमने एक अध्ययन करने का फैसला किया।

Reshech के लिए हमें चाहिए:

• हमारे लिए एक उपयुक्त Microsoft खाता चुनें और पंजीकृत करें
• रजिस्टर 2 कंपनियां (हमलावर और पीड़ित)
• एक दुर्भावनापूर्ण दस्तावेज़ बनाएं जिसे हम फ़िशिंग ईमेल में भेजेंगे

Microsoft खाता पंजीकरण

इस अध्ययन के लिए, हमने Microsoft व्यवसाय खाता चुना क्योंकि इसमें Azure Information Protection है। एआईपी अन्य टैरिफ योजनाओं में भी है, उन्हें यहां पाया जा सकता है ।

हम विस्तार से वर्णन नहीं करेंगे कि खाता पंजीकृत करते समय किन कठिनाइयों का सामना करना पड़ा। हम संक्षेप में लिखेंगे - रूस से अपने दम पर एक व्यवसाय खाता पंजीकृत करना असंभव है। सभी प्रतिबंधों के कारण। लेकिन आप भागीदारों (आधिकारिक कंपनियों, रूस में उनमें से 4 हैं) की ओर रुख कर सकते हैं या यूरोप से छुट्टी पर रजिस्टर कर सकते हैं, पहले वहां एक स्थानीय सिम खरीदा था।

पंजीकृत 2 कंपनियां। 1 कंपनी - पीड़ित कंपनी MyMetalCompany डोमेन के साथ mymetalcompany.club और दो उपयोगकर्ता - पेट्र पेट्रोव, वासा वासेकिन। पीड़ित कंपनी AIP का उपयोग नहीं करती है।



2 कंपनी - हमलावर कंपनी - Microsoft से एक मानक डोमेन के साथ जेम कंपनी - gemcompany.onmicrosoft.com और एकमात्र उपयोगकर्ता - ईविल उपयोगकर्ता, जो पेट्रोव और वासेकिन को फ़िशिंग ईमेल भेजेगा।



ईविल उपयोगकर्ता एक दुर्भावनापूर्ण दस्तावेज़ के साथ एक प्रयोग करेगा, जिसे DDEDownloader के रूप में वर्गीकृत किया गया है - एक अंतर्निहित लिंक वाला एक दस्तावेज़ जिसके द्वारा पावर शेल स्क्रिप्ट डाउनलोड की जाती है और कमांड लाइन पर लॉन्च की जाती है। जेम कंपनी AIP का उपयोग करती है।

परीक्षण

याद रखें कि हमारा मुख्य लक्ष्य दुर्भावनापूर्ण दस्तावेज़ को स्पैम फ़िल्टर पास करना और इनबॉक्स फ़ोल्डर में उपयोगकर्ता तक पहुंचना है।

जाँच करने के लिए पहली बात यह है कि क्या कोई दुर्भावनापूर्ण दस्तावेज़ उपयोगकर्ता के पास आता है यदि हम इसे तथाकथित "क्लीन फॉर्म" में भेजते हैं। हम ईविल यूजर से कॉमरेड वासेकिन को तैयार किए गए दस्तावेज़ को भेजेंगे।

परिणाम अनुमानित था - Microsoft को हमारा पत्र पसंद नहीं आया और उसने फैसला किया कि वासेकिन ऐसे कचरे पर ध्यान देने के लिए बेकार है। दरअसल, पत्र वासेकिन को नहीं आया था।

हम एज़्योर इंफॉर्मेशन प्रोटेक्शन के माध्यम से डालने की कोशिश करेंगे कि केवल वाशेकिन ही रीड मोड में कोई दस्तावेज़ पढ़ सके। केवल रीड मोड में ही क्यों? क्योंकि यह हमारे लिए महत्वपूर्ण है कि उपयोगकर्ता दस्तावेज़ खोलता है, और वह इस दस्तावेज़ के साथ क्या कार्य कर सकता है, यह पूरी तरह से उदासीन है। इसलिए, रीडिंग मोड काफी पर्याप्त है। ध्यान दें कि हम दस्तावेज़ में कुछ भी नहीं बदलते हैं। हम बस दस्तावेज़ के साथ काम करने पर प्रतिबंध लगाते हैं। फिर एन्क्रिप्शन के साथ कुछ जादू है, जो एआईपी आयोजित करता है, लेकिन इस अध्ययन में हमें परवाह नहीं है।



हम ऐसे दस्तावेज पेट्रोव और वासेकिन को भेजेंगे। आइए देखें कि उनमें से प्रत्येक के लिए क्या होगा। ध्यान दें कि पेट्रोव के पास आमतौर पर दस्तावेज़ के साथ काम करने का कोई अधिकार नहीं है।

पहली बात जिस पर आपको ध्यान देना चाहिए वह यह है कि दुर्भावनापूर्ण दस्तावेज़ पेत्रोव और वासेकिन दोनों के इनबॉक्स में समाप्त हो गया!

Vasechkin Microsoft Word का उपयोग करके दस्तावेज़ को शांति से खोलता है। उसे किसी अतिरिक्त सॉफ्टवेयर की आवश्यकता नहीं है।



हम देखते हैं कि पहुंच सीमित है, लेकिन दस्तावेज़ की सभी सामग्रियां भी दिखाई देती हैं।

एक और बिंदु - एआईपी द्वारा संरक्षित एक दस्तावेज केवल वर्ड में खोला जा सकता है, अर्थात। आप इसे मेल क्लाइंट या कुछ ऑनलाइन सेवाओं में देखने के मोड में नहीं देख सकते।

पेत्रोव की स्थिति इसके विपरीत है - वह दस्तावेज नहीं खोल सकता, क्योंकि उसके पास "कोई दस्तावेज नहीं है" (जैसा कि वे एक प्रसिद्ध कार्टून में कहते हैं)।



Minuses में से - आप उस खाते को देख सकते हैं जिसके तहत उन्होंने AIP का उपयोग करके दस्तावेज़ को संरक्षित किया था। यह घटना की जांच करते समय ब्लूटेम के लिए कुछ प्रकार के सुराग प्रदान कर सकता है। अन्यथा, सब कुछ हमारे द्वारा निर्धारित नियमों के अनुसार काम करता है।

महान, लेकिन क्या होता है अगर हम सिर्फ गोपनीयता के स्तर को रखने की कोशिश करते हैं? हमें दस्तावेज़ खोलने में सक्षम होने के लिए किसी की ज़रूरत नहीं है - इस अध्ययन में मुख्य बात इनबॉक्स में आना है।

उन्होंने दस्तावेज़ की गोपनीयता के गोपनीय स्तर को निर्धारित करने की कोशिश की - दस्तावेज़ को स्पैम फ़िल्टर के साथ काट दिया गया था।

साथ ही, पत्र पर प्रतिबंध भी लगाया जा सकता है। आउटलुक क्लाइंट में एक ऐड-ऑन दिखाई देता है, जो आपको पत्र पर प्रतिबंध लगाने की अनुमति देता है, और वे (प्रलेखन में माइक्रोसॉफ्ट कैसे लिखते हैं) पत्र की पूरी सामग्री पर संलग्न होते हैं। यदि उपयोगकर्ता AIP का उपयोग कर रहा है तो ऐड-ऑन प्रकट होता है। हमारे मामले में, ईविल उपयोगकर्ता इसका उपयोग करता है और इसके पास इस तरह के एक ऐड-ऑन है।

उन्होंने अनुलग्नक के साथ पत्र पर उच्च गोपनीय लेबल लगाने की कोशिश की - पत्र इनबॉक्स में नहीं गया।

हम समझते हैं कि "सभी उपयोगकर्ताओं के लिए" सेट नहीं किया जाना चाहिए, क्योंकि "सभी उपयोगकर्ताओं" में सेवा खाते भी शामिल हैं जो मैलवेयर के लिए आने वाले पत्रों की जांच करते हैं।

ट्रैकिंग प्रणाली

एआईपी की शांत विशेषताओं में से एक ट्रैकिंग सिस्टम है, जो आपको यह निर्धारित करने की अनुमति देता है कि दस्तावेज़ को किसने, कब और कहाँ से खोला या खोलने की कोशिश की।

इस मामले में, हम देखते हैं कि पेट्रोव ने दस्तावेज़ को खोलने की कोशिश की, लेकिन वह सफल नहीं हुआ। और वासेकिन ने दस्तावेज़ खोला। फ़िशिंग हमले का आयोजन करते समय, इस तरह की व्यवस्था - बस मोक्ष - आपको कुछ भी सोचने की ज़रूरत नहीं है, हम तुरंत देखते हैं कि आपने जो दोस्त खोला है वह लगाव है या नहीं।



आप सूचना प्रणाली को भी कॉन्फ़िगर कर सकते हैं ताकि जब आप कोई दस्तावेज़ खोलने का प्रयास करें तो एक ईमेल आए।

निष्कर्ष

अध्ययन का उद्देश्य Microsoft का उपयोग करके Microsoft स्पैम फ़िल्टर को बायपास करना था (कंपनी द्वारा प्रस्तावित सुरक्षा के साधनों का उपयोग करके)।

• लक्ष्य को सफलतापूर्वक एक टिप्पणी के साथ हासिल किया गया था - आपको विशिष्ट उपयोगकर्ताओं के लिए एक्सेस अधिकार स्थापित करने के लिए विशेष रूप से एआईपी का उपयोग करने की आवश्यकता है। अन्य सुरक्षा सुविधाओं को मिटाते हुए - एंटीवायरस, घुसपैठ का पता लगाने वाली प्रणालियां जो दस्तावेज़ खोले जाने पर सक्रिय हो जाती हैं (हमने जानबूझकर दुर्भावनापूर्ण दस्तावेज़ लिया है जो सभी सुरक्षा सुविधाओं द्वारा पता लगाया गया है) - आपकी कल्पना पर निर्भर करता है। हमने इनबॉक्स में केवल पत्र ही मांगे।
• Azure Information Protection केवल अधिकृत Office365 उपयोगकर्ताओं के लिए काम करता है (यह एन्क्रिप्शन का जादू है)। लगभग सभी संगठनों में, उपयोगकर्ता Office365 में लॉग इन होते हैं और कोई कठिनाई नहीं होती है। लेकिन इस तथ्य पर विचार करना आवश्यक है।
• ट्रैकिंग सिस्टम आम तौर पर एक भव्य चीज है और इसका उपयोग करना सुविधाजनक और व्यावहारिक है।
• दस्तावेजों की सुरक्षा के लिए एआईपी का उपयोग करना (इसलिए अपने इच्छित उद्देश्य के लिए बोलना) भी शांत है और हमलावरों के लिए सिरदर्द पैदा करेगा - दस्तावेजों तक पहुंच प्राप्त करना अधिक कठिन हो जाता है।

बहुत ही प्रेजेंटेशन की प्रस्तुति हमारे गिठब पर मिल सकती है ।

सम्मेलन के लिए OFFZONE के आयोजकों को धन्यवाद! यह दिलचस्प था!