Red Teaming

Ein globales Technologieunternehmen führte ein Purple Team Assessment durch, bei dem die Tester aus einer "Assume Compromise"-Position agierten. Dazu erhielten sie Zugriff auf ein Windows-Notebook im Firmennetzwerk sowie auf einen Linux-Server, um von innen heraus Angriffe zu simulieren. Der Schwerpunkt lag auf der Erkennung von Angriffen und der Kommunikation mit dem IT-Security-Team des Unternehmens.

Ein besonders bemerkenswertes Ergebnis dieses Assessments war die Konfiguration eines Windows-Dienstes auf allen Clients, die eine Privilege Escalation von einem normalen Benutzer zu einem Administrator wie aus dem Lehrbuch ermöglichte. Durch dieses Assessment konnte das IT-Security-Team daher nicht nur seine Erkennungsmaßnahmen testen und in einem realistischen Szenario trainieren, sondern es wurden auch kritische Schwachstellen aufgedeckt.

Wir wurden von einem global tätigen Pharmakonzern mit einem externen IT-Red-Teaming beauftragt. Im Gegensatz zu einem typischen Red-Teaming gab es dabei Einschränkungen im Scope: Social Engineering (einschließlich Phishing) sowie physischer Zugang waren vom Test ausgeschlossen. Das bedeutet, dass das testende Team einen Weg über die externe IT-Infrastruktur ins Unternehmen finden musste. Weitere Angriffe innerhalb des internen Netzwerks waren ebenfalls nicht Teil des Scopes.

Das Assessment begann mit einer OSINT (Open Source Intelligence)-Phase, in der Informationen aus öffentlich zugänglichen Quellen gesammelt wurden. Dazu gehörten IP-Adressen, Domains, E-Mail-Adressen, Passwörter sowie andere unternehmensrelevante Informationen. Die Unternehmensgröße spiegelte sich dabei in der Menge der verfügbaren Informationen wider. Anschließend begann die nächste Phase, in der potenzielle Angriffsvektoren aus dem Internet ermittelt wurden. Aufgrund der großen externen IT-Landschaft des Kunden wurde vor jedem tatsächlichen Angriff eine kurze Abstimmung durchgeführt, um sicherzustellen, dass keine kritischen oder Out-of-Scope-Systeme angegriffen wurden.

Im Verlauf des Red-Teamings konnte mittels geleakter Zugangsdaten ein administrativer Zugriff auf eine Webapplikation erlangt werden. Diese Webapplikation ermöglichte den Zugriff auf die Backend-Datenbank. Aufgrund diverser Einschränkungen war es jedoch nicht möglich, Shell-Zugriff auf das System zu erhalten.

Wie lässt sich so etwas verhindern? Geleakte Passwörter sind für Angreifende nur solange nützlich, solange die Passwörter noch gültig sind. Deshalb ist es wichtig, Tools und Dienste zu nutzen, die kontinuierlich das Darknet und andere Quellen nach geleakten Zugangsdaten durchsuchen und Warnungen ausgeben, wenn Unternehmensdaten betroffen sind. Zusätzlich sollte besonderes Augenmerk auf Legacy-Systeme gelegt werden, die möglicherweise nicht mit der zentralen Userdatenbank verbunden sind.

Durch ein, als Lebenslauf getarntes, Word-Dokument mit Macros war es möglich in ein System einzudringen, um internen Netzwerkzugriff zu erlangen.  Dies ermöglichte lokal gespeicherte Zugangsdaten auszulesen und anschließend Zugriff auf einen Fallback Jump Host im Internet zu bekommen. Über den Jump Host war es schlussendlich möglich Zugriff auf das vereinbarte Ziel, das Developer-Netz, zu erlangen.