39:51Cet enregistrement n'est pas encore disponible.
Catégories
Opérations de sécurité (SOC) et réponse aux incidents (IR)Détection et chasse aux menacesSécurité réseau et confiance zéroSécurité offensive et expositionTests d'intrusion et red teaming
Fournisseurs et outils abordés
À propos de cette session
Trois testeurs d'intrusion de GoSecure, Romain Carnus, Maxime Nadeau et Mathieu Novis, reprennent l'attaque côté client contre WSUS présentée par Paul Stone et Alex Chapman en 2015 et expliquent pourquoi elle reste d'actualité. Déployé en HTTP simple, Windows Server Update Services laisse un attaquant en position d'interception altérer les métadonnées non signées des requêtes de mise à jour : même si les binaires doivent porter une signature Microsoft valide, l'URL et les arguments de ligne de commande ne sont pas protégés, si bien qu'un outil signé comme PsExec ou BGInfo peut être redirigé vers un serveur malveillant et exécuter du code arbitraire en tant que SYSTEM. Ils décrivent le portage de l'ancienne preuve de concept vers Windows récent à l'aide d'usurpation ARP, et la publication de leur propre serveur autonome, PyWSUS, qui sépare l'interception de la livraison des mises à jour. Ils signalent aussi une élévation de privilèges locale : le client de mise à jour se fiant au proxy défini par l'utilisateur, un utilisateur sans privilège pouvait rediriger le trafic vers PyWSUS et exécuter du code sous un compte élevé. Leur outil WSUSpicious l'a démontré, a valu une prime de Microsoft et a été corrigé. La partie défensive couvre la détection et l'atténuation : imposer HTTPS et appliquer le correctif.
In 2015, Paul Stone and Alex Chapman presented a novel attack at the BlackHat USA conference. Their talk covered their exploration of the usual enterprise deployment of the Windows Update infrastructure (WSUS) and culminated into the release of WSUSpect-proxy, a tool that allows attackers to inject malicious updates and compromise hosts during a Machine-in-the-Middle (MITM) attack.
Five years later, this tool has been poorly maintained and, even with this threat uncovered, we still see unencrypted WSUS servers in almost all our intrusion testing engagements. This highlights the fact that the threat is largely underestimated. First, its implementation encourages an HTTP-based deployment which is vulnerable by design. Furthermore, even organizations willing to harden WSUS will struggle to achieve a secure deployment since its technical resources and online documentation are lacking. In an effort to nail the coffin once and for all on HTTP-based WSUS, we wanted to dig deeper into the issue and performed CPR on the WSUSpect-proxy tool.
This presentation will cover our research into WSUS, our new twist on the WSUS attack vector, and our revival of the WSUSpect-proxy threat model. Our research resulted in the birth of four different tools covering three different attack scenarios. Scenarios include previously undocumented techniques, while others describe bounty-awarded yet-to-be-disclosed Microsoft 0-days. This talk will bring value to both intrusion testers and defenders by covering both sides of these scenarios, from exploitation to detection and mitigation.
À retenir
- Imposez HTTPS sur chaque déploiement WSUS : la signature Microsoft des binaires ne protège pas les métadonnées non signées, donc HTTP permet l'exécution de code à distance en tant que SYSTEM.
- Appliquez le correctif Microsoft pour l'élévation de privilèges locale de WSUS et empêchez les utilisateurs non privilégiés de modifier les réglages de proxy; HTTPS seul ne ferme pas cette voie.
- Repérez les clients vulnérables en lisant les clés de registre WUServer et WUStatusServer ou les objets de stratégie de groupe, ou en inspectant le trafic dans Wireshark sur les ports WSUS.
- Détectez l'exploitation en surveillant le processus de mise à jour Windows qui lance un outil signé comme PsExec, un changement de clé de proxy utilisateur et l'ouverture d'un port local, corrélés ensemble.
- Surveillez les signaux d'interception (ARP gratuit, DHCP malveillant, hôtes inattendus sur un port de commutateur), car le faux serveur fait que le vrai serveur WSUS ne reçoit jamais la connexion du client.
Conférenciers
Maxime Nadeau
Maxime is currently the Director of Ethical Hacking at GoSecure. Jack of all trades, master of some, he does have a pronounced interest in adversary simulation and physical security. Originally a software engineer, he is now conducting intrusion… Lire la suiteRéduire
Maxime is currently the Director of Ethical Hacking at GoSecure. Jack of all trades, master of some, he does have a pronounced interest in adversary simulation and physical security. Originally a software engineer, he is now conducting intrusion tests and built service offerings that include physical security intrusion and testing. He is a returning presenter at the GoSec conference, cybersecurity competition winner and NorthSec challenge designer.
