Microsoft Active Directory

Active Directory — LDAP-совместимая реализация службы каталогов корпорации Microsoft для операционных систем семейства Windows NT.

Анатомия атаки через Active Directory

2022

Применение вредоносного ПО MagicWeb для посткомпрометации Active Directory

Злоумышленники, ответственные за атаку на цепочку поставок SolarWinds, стали использовать вредоносное ПО MagicWeb для посткомпрометации, которое применяется для поддержания постоянного доступа к скомпрометированной среде и совершения бокового перемещения. Об этом стало известно 25 августа 2022 года.

Исследователи из Microsoft обнаружили, как APT-группа Nobelium использует бэкдор после получения прав администратора на сервере Active Directory Federated Services (AD FS). При таком привилегированном доступе злоумышленники заменяют законную DLL-библиотеку вредоносной DLL-библиотекой MagicWeb. При этом вредоносное ПО загружается на сервере AD FS как легитимное ПО.

Иллюстрация:securitylab.ru

Как и контроллеры домена, серверы AD FS могут аутентифицировать пользователей. MagicWeb облегчает авторизацию для злоумышленников, позволяя манипулировать утверждениями в маркерах аутентификации AD FS. Так хакеры могут аутентифицироваться в сети.

По словам Microsoft, MagicWeb является улучшенной итерацией ранее использовавшегося специализированного инструмента FoggyWeb, который также обеспечивает прочный плацдарм внутри сетей жертв.

MagicWeb превосходит возможности FoggyWeb по сбору данных, облегчая прямой скрытый доступ. Он манипулирует сертификатами аутентификации пользователя для авторизации, а не сертификатами подписи, используемыми в атаках по типу Golden SAML.

Согласно бюллетеню Microsoft, на август 2022 года использование MagicWeb является весьма целенаправленным и о жертвах данного ПО не сообщается^[1].

Экстренное исправление проблемы авторизации

20 мая 2022 года стало известно о том, что компания Microsoft выпустила внеплановые исправления (OOB) для решения проблемы с авторизацией в Windows Active Directory (AD), над которыми работала с 12 мая 2022 года. Проблема появилась после установки на контроллеры домена обновлений Windows, выпущенных в майский вторник исправлений 2022 года. Сбои авторизации на стороне сервера или клиента наблюдались у служб Network Policy Server (NPS), Routing and Remote access Service (RRAS), Radius, Extensible Authentication Protocol (EAP) и Protected Extensible Authentication Protocol (PEAP). Проблема была связана с тем, как сопоставление сертификатов с учетными данными устройств обрабатывалось контроллером домена.

Windows Active Directory

Как сообщалось, выпущенные обновления OOB Windows доступны только через Microsoft Update Catalog и не будут распространяться через Windows Update.

Компания выпустила следующие накопительные пакеты обновлений для установки на контроллеры домена:

• Windows Server 2022: KB5015013
• Windows Server, версия 20H2: KB5015020
• Windows Server 2019: KB5015018
• Windows Server 2016: KB5015019

Также были выпущены обновления, никак не связанные с проблемой:

• Windows Server 2012 R2: KB5014986
• Windows Server 2012: KB5014991
• Windows Server 2008 R2 SP1: KB5014987
• Windows Server 2008 SP2: KB5014990

Все обновления из списка можно вручную импортировать в службы обновления Windows Server Update Services (WSUS) и Microsoft Endpoint Configuration Manager. Инструкции по WSUS можно найти на странице WSUS, а по Configuration Manager – на странице импорта обновлений из Microsoft Update Catalog^[2].

2019: В MaxPatrol SIEM загружен пакет для выявления аномалии в активности пользователей в Active Directory

10 апреля 2019 года компания Positive Technologies сообщила о загрузке пакета экспертизы в MaxPatrol SIEM, который позволяет выявлять аномалии в активности пользователей в Microsoft Active Directory. Подробнее здесь.

2011

Active Directory реализует для администраторов использование групповых политик (GPO) для обеспечения единообразия настройки пользовательской рабочей среды, развёртывание ПО на множестве компьютеров (через групповые политики или посредством Microsoft Systems Management Server 2003 (или System Center Configuration Manager)), устанавку обновлений ОС, прикладного и серверного ПО на всех компьютерах в сети (с использованием Windows Server Update Services (WSUS); Software Update Services (SUS) ранее).

Active Directory хранит данные и настройки среды в централизованной базе данных.

Информационные системы состоят из множества разнообразного оборудования и программного обеспечения. Управлять такой разрозненной информацией становится всё труднее без специализированных средств. Доменные службы Active Directory — централизованное хранилище сведений о конфигурации, запросов на проверку подлинности, а также сведений обо всех объектах, хранящихся в корпоративном лесе.

С помощью Active Directory можно эффективно управлять пользователями, компьютерами, группами, принтерами, приложениями и другими поддерживающими службы каталогов проектами из единого безопасного, централизованного места. Специалист компании «Кречет» Геннадий Ефимов рассказал о процедуре миграции на конкретном примере реализованного проекта, дал необходимые рекомендации и поделился советами и своим опытом, помог слушателям выделить причины и обосновать перед руководством необходимость миграции на Active Directory 2008 R2.

Примечания