21 juin 2019

Retour sur le Hack In Paris – 9e édition – Jour 1

Le Hack In Paris réunit depuis bien des années de nombreux professionnels de la sécurité informatique à Paris pour traiter divers sujets techniques dans l’ensemble des domaines de la sécurité informatique.

Cette année, BSSI était présent à la 9e édition. Dans cet article, nous vous proposons des résumés de quelques conférences du premier jour :

Social Forensication: A Multidisciplinary Approach to Successful Social Engineering

Par Joe Gray

Lien vers la vidéo de la présentation : https://www.youtube.com/watch?v=5qvBPhu2Zqo

Joe Gray, un architecte sécurité senior qui a servi dans la marine américaine, a expliqué différentes approches qui pourraient être associées à des attaques d’ingénieries sociales. La présentation a débuté par l’introduction des bases de l’ingénierie sociale. Il existe un certain nombre d’attaques basées sur ce concept telles que le phishing, vishing (vocal phishing), contacts physiques, récupération des ordures. La présentation de Joe G. se concentrait sur deux scénarios d’attaques d’ingénierie sociale physiques.

Le premier scénario consiste tout d’abord à récupérer une image mémoire de l’ordinateur de la victime en utilisant une Rubber Ducky (périphérique USB injectant des frappes clavier) et un disque dur externe. Un des moyens pour l’attaquant de convaincre la victime de le laisser effectuer cette opération est de se faire passer pour un consultant en sécurité spécialisé en investigation.  La seconde étape de ce scénario consiste à monter l’image récupérée sur un système SIFT ou Kali, puis d’en extraire des données en utilisant Volatility, un outil open source d’investigation offensive.

La seconde attaque présentée utilise un WiFi Pineapple afin de créer un point d’accès malveillant qui en réplique un existant. Ce nouveau point d’accès devra par ailleurs répondre plus vite aux requêtes que celui qu’il réplique. L’attaquant va ensuite envoyer des trames de déconnexion au point d’accès légitime, les appareils en seront déconnectés et tenteront de se reconnecter sur la réplication malveillante. Il sera ensuite possible de casser le handshake afin d’obtenir la clé de sécurité du point d’accès légitime.

Les attaques par ingénierie sociale physique s’avèrent être très impactantes et efficaces. Deux attaques ont pu être introduites dans cette présentation. Pour chacune d’entre elles, Joe G. a présenté leurs objectifs, leur fonctionnement, une démonstration et des solutions pour s’en protéger.

WHOAMI /PRIV – Show me your Windows privileges and I will lead you to SYSTEM

Par Andrea Pierini

Lien de la présentation en PDF : https://github.com/decoder-it/whoami-priv/blob/master/whoamipriv.pdf

Andrea Pierini, un architecte et manager en sécurité nous parle de ses travaux concernant l’escalade de privilège sur Windows. Selon lui, les travaux dans le domaine de manipulation de jeton et l’abus de privilèges ne sont pas assez documentés. Il commence ainsi sa présentation en expliquant le fonctionnement des privilèges de Windows. Afin de réaliser des actions nécessitant des privilèges élevés, le compte de l’utilisateur doit avoir les droits associés. Cependant, certaines fonctions sont intéressantes pour l’escalade de privilège, car elles utilisent des droits administrateurs:

  • SeDebug
  • SeRestore & SeBackup & SeTakeOwnership
  • SeTcb & SeCreateToken
  • SeLoadDriver
  • SeImpersonate & SeAssignPrimaryToken

Par la suite, il nous explique comment il est possible (dans les anciennes versions de Windows, avant le build 1809) d’utiliser ces fonctions afin d’élever ses privilèges et ainsi obtenir les droits SYSTEM (plus hauts privilèges sous Windows).

Par exemple, voici un des scripts permettant de faire une escalade de privilège en utilisant SeDebugPrivilege (https://github.com/decoder-it/psgetsystem) :

Enfin, il termine avec la présentation d’un outil qu’il a développé, nommé Juicy-potato (https://ohpe.it/juicy-potato/). Il permet l’automatisation de l’escalade de privilège. Cet outil est une version améliorée de rotten-tomato (https://foxglovesecurity.com/2016/09/26/rotten-potato-privilege-escalation-from-service-accounts-to-system/), qui permet l’escalade de privilège via le service BITS lorsque l’utilisateur a les privilèges SeImpersonate et SeAssignPrimaryToken.

En outre, sous conditions d’avoir une version de Windows inférieure au build 1809, il est possible d’obtenir les plus hauts privilèges de Windows localement si l’utilisateur a les droits SeImpersonate et SeAssignPrimaryToken avec l’outil Juicy-potatoe.

Stanley Ragava

Stanley RAGAVA :
Consultant BSSI

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *