Internal Network ကြီးကို သိမ်းကျုံးခြင်း: Pass-the-Hash နှင့် Active Directory (Red Teaming)

ကုမ္ပဏီအများစုရဲ့ ရုံးတွင်းကွန်ပျူတာ (Internal Network) တွေကို Windows Active Directory (AD) နဲ့ ချိတ်ဆက်ပြီး ထိန်းချုပ်ကြပါတယ်။ Red Teamer (Pentester) တစ်ယောက်အနေနဲ့ ရုံးတွင်း Network ထဲ ရောက်သွားပြီဆိုရင် ပစ်မှတ်က "Domain Controller (DC)" ကြီးကို Admin Access ရဖို့ (Domain Admin) ပဲ ဖြစ်ပါတယ်။

The Magic of "Pass-the-Hash" (PtH)

Windows ဟာ Password တွေကို အစိမ်းလိုက် မသိမ်းဘဲ NTLM Hash အနေနဲ့ ပြောင်းပြီး သိမ်းပါတယ်။ (ဥပမာ- aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0).

အံ့ဩစရာကောင်းတာက၊ တခြား Server ကို လှမ်းပြီး Authentication (Log in) ဝင်တဲ့အခါမှာ တကယ့် Password အစစ် (Cleartext) ကို ငယ်ငယ်ကလို ရိုက်ထည့်စရာ မလိုပါဘူး။ အပေါ်က NTLM Hash ကြီးကို ပို့ပေးလိုက်ရင်လည်း Windows က လက်ခံပါတယ်။

တိုက်ခိုက်ပုံ အဆင့်ဆင့်:

၁။ Hash တွေကို ဖြတ်ခိုးခြင်း (Credential Dumping):

ကိုယ့်စက်က (Local Admin) ရထားရင် Mimikatz ဆိုတဲ့ Tool ကို သုံးပြီး Memory (LSASS) ထဲမှာ ကျန်နေခဲ့တဲ့ Hash တွေကို ဆွဲထုတ်လို့ ရပါတယ်။

text
mimikatz # privilege::debug
mimikatz # sekurlsa::logonpasswords

ဒီလို ရိုက်လိုက်ရင်၊ အဲ့ဒီစက်မှာ မနေ့က လာ login ဝင်သွားတဲ့ "IT Support" သမားရဲ့ Password Hash ကိုပါ မြင်ရပါပြီ။

၂။ Pass-the-Hash ဖြင့် အခြားစက်များသို့ ကူးဆက်ခြင်း:

အဲ့ဒီ Support သမားရဲ့ Hash ကို အသုံးပြုပြီး၊ Mimikatz ထဲကနေပဲ အခြား Server တွေဆီ လှမ်းဝင်ပါတယ်။

text
mimikatz # sekurlsa::pth /user:IT_Support /domain:CORP.LOCAL /ntlm:31d6cfe0d16ae931b73c59d7e0c089c0

ဒီ Command ကို run လိုက်တာနဲ့ စက်ထဲမှာ cmd.exe အသစ်တစ်ခု ပွင့်လာပါတယ်။ အဲ့ဒီ CMD က ကိုယ့်ရဲ့ Account နဲ့ run နေတာမဟုတ်တော့ဘဲ၊ IT Support ခေါင်းစဉ်အောက်ကနေ run နေတာဖြစ်လို့... ပိတ်ထားတဲ့ တခြား Network drive တွေဆီ အရသာခံပြီး ဝင်မွှေလို့ ရသွားပါပြီ။

ကာကွယ်ရန် အဓိကနည်းလမ်းများ:

ဒီလိုမျိုး Lateral Movement တွေကို ရှောင်ရှားချင်ရင်၊

• LAPS (Local Administrator Password Solution) ကိုသုံးပြီး စက်တိုင်းမှာ Local Admin Password ကို မတူအောင် ခွဲထားပါ။
• Tiered Administration (Admin account တွေသုံးပြီး သာမန် User စက်တွေကို remote login မဝင်ခြင်း) ကို တင်းတင်းကျပ်ကျပ် သတ်မှတ်ထားရပါမယ်။
• EDR (Endpoint Detection and Response) တွေက Mimikatz လို Tools တွေကို Memory Level ကနေ တားဆီးပေးနိုင်ပါတယ်ဗျ။