wearyourheartout

When the Kerberos elevation of privilege (CVE-2014-6324 / MS14-068) vulnerability has been made public, the remediation paragraph of the following blog post made some waves:
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx

"The only way a domain compromise can be remediated with a high level of certainty is a complete rebuild of the domain."

Personally, I agree with this, but .... But whether this is the real solution, I'm not sure. And the same applies to compromised computers. When it has been identified that malware was able to run on the computer (e.g. scheduled scan found the malware), there is no easy way to determine with 100% certainty that there is no rootkit on the computer. Thus rebuilding the computer might be a good thing to consider. For paranoids, use new hardware ;)

But rebuilding a single workstation and rebuilding a whole domain is not on the same complexity level. Rebuilding a domain can take weeks or months (or years, which will never happen, as the business will close before that).

There are countless documented methods to backdoor a computer, but I have never seen a post where someone collects all the methods to backdoor a domain. In the following, I will refer to domain admin, but in reality, I mean Domain Admins, Enterprise Admins, and Schema Admins.

Ways to backdoor a domain

So here you go, an incomplete list to backdoor a domain:

Create a new domain admin user. Easy to do, easy to detect, easy to remediate
Dump password hashes. The attacker can either crack those or just pass-the-hash. Since KB2871997, pass-the-hash might be trickier (https://technet.microsoft.com/library/security/2871997), but not impossible. Easy to do, hard to detect, hard to remediate - just think about service user passwords. And during remediation, consider all passwords compromised, even strong ones.
Logon scripts - modify the logon scripts and add something malicious in it. Almost anything detailed in this post can be added :D
Use an already available account, and add domain admin privileges to that. Reset its password. Mess with current group memberships - e.g. http://www.exploit-db.com/papers/17167/
Backdoor any workstation where domain admins login. While remediating workstations, don't forget to clean the roaming profile. The type of backdoor can use different forms: malware, local admin, password (hidden admin with 500 RID), sticky keys, etc.
Backdoor any domain controller server. For advanced attacks, see Skeleton keys
Backdoor files on network shares which are commonly used by domain admins by adding malware to commonly used executables - Backdoor factory
Change ownership/permissions on AD partitions - if you have particular details on how to do this specifically, please comment
Create a new domain user. Hide admin privileges with SID history. Easy to do, hard to detect, easy to remediate - check Mimikatz experimental for addsid
Golden tickets - easy to do, hard to detect, medium remediation
Silver tickets - easy to do, hard to detect, medium/hard remediation
Backdoor workstations/servers via group policy

HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ RunOnce,
scheduled tasks (run task 2 years later),
sticky-keys with debug

Backdoor patch management tool, see slides here

[Update 2017.01.10]

Other tricks

The following list does not fit in the previous "instant admin" tips, but still, it can make the attackers life easier if their primary foothold has been disabled:

Backdoor recent backups - and when the backdoor is needed, destroy the files, so the files will be restored from the backdoored backup
Backdoor the Exchange server - get a copy of emails
Backdoor workstation/server golden image
Change permission of logon scripts to allow modification later
Place malicious symlinks to file shares, collect hashes via SMB auth tries on specified IP address, grab password hashes later
Backdoor remote admin management e.g. HP iLO - e.g. create new user or steal current password
Backdoor files e.g. on shares to use in SMB relay
Backdoor source code of in-house-developed software
Use any type of sniffed or reused passwords in new attacks, e.g. network admin, firewall admin, VPN admin, AV admin, etc.
Change the content of the proxy pac file (change browser configuration if necessary), including special exception(s) for a chosen domain(s) to use proxy on malicious IP. Redirect the traffic, enforce authentication, grab password hashes, ???, profit.
Create high privileged users in applications running with high privileges, e.g. MSSQL, Tomcat, and own the machine, impersonate users, grab their credentials, etc. The typical pentest path made easy.
Remove patches from servers, change patch policy not to install those patches.
Steal Windows root/intermediate CA keys
Weaken AD security by changing group policy (e.g. re-enabling LM-hashes)

Update [2015-09-27]: I found this great presentation from Jakob Heidelberg. It mentions (at least) the following techniques, it is worth to check these:

Microsoft Local Administrator Password Solution
Enroll virtual smart card certificates for domain admins

Forensics

If you have been chosen to remediate a network where attackers gained domain admin privileges, well, you have a lot of things to look for :)

I can recommend two tools which can help you during your investigation:

Lessons learned

But guess what, not all of these problems are solved by rebuilding the AD. One has to rebuild all the computers from scratch as well. Which seems quite impossible. When someone is creating a new AD, it is impossible not to migrate some configuration/data/files from the old domain. And whenever this happens, there is a risk that the new AD will be backdoored as well.

Ok, we are doomed, but what can we do? I recommend proper log analysis, analyze trends, and detect strange patterns in your network. Better spend money on these, than on the domain rebuild. And when you find something, do a proper incident response. And good luck!

Ps: Thanks to Andrew, EQ, and Tileo for adding new ideas to this post.

Check out the host backdooring post as well! :)

Related news

One new security technology we keep hearing about is Extended Detection and Response (XDR). This new technology merges multiple prevention and detection technologies on a single platform to better understand threat signals so that you don't need to purchase, integrate, and manage various control and integration technologies. Think of XDR as prepackaged EDR, NTA, UEBA (and perhaps other

via The Hacker News

Another Sunday. We finished our last bit of bacon this morning, and our hominy. Carey brought up a lot of ripe and unripe peaches and it would not look well to write down how many we ate. So many, however, that we got along with nothing else for dinner but beans. This sounds like the diary of someone on an arctic expedition. The interesting item each day is how much food there is left. I want, if I can without starving Carey, to make it last over Tuesday so we can drive over to Livermore region Monday night and camp, and let me do a little more collecting."

Ser la pequeña de ocho hermanos y la única chica, en el caso de Mary Sophie Young (1872-1919), parece ser que fue un buen entrenamiento para enfrentarse a cualquier contingencia. Había nacido en Ohio, hija de un pastor episcopaliano. Terminado el bachillerato en 1895, se dedicó a la enseñanza, ejerciendo por varios estados. Al mismo tiempo, estaba matriculada por correspondencia en la Universidad de Chicago, donde obtuvo un Ph. D. en botánica en 1910 y donde publicó varios trabajos sobre morfología de plantas. Ese mismo año se incorporó como botánica en la Universidad de Texas y, en 1912, ya tenía a su cargo un curso de taxonomía y era la conservadora del herbario de la Universidad. Desde este cargo se dedicó a explorar y recoger plantas en los alrededores de Austin, tanto para incrementar el Herbario como para intercambiar material con otras instituciones. Pero su zona de exploración preferida fue el área de Trans-Pecos, adonde se trasladó en los periodos no lectivos de los veranos de los años 1914 al 1918, con la excepción del año 1917, cuando se desplazó más al norte, para explorar Palo Duro Canyon, en la región de Panhandle, cerca de Amarillo.

Trans-Pecos es como se denomina en Tejas el territorio al occidente del río Pecos, con el Río Grande como límite meridional y occidental; comprende unos 16.000 km² y corresponde a la parte tejana del desierto de Chihuahua. A comienzos del siglo XX era un territorio despoblado –más o menos como hoy día, si se excluye la población de El Paso– y bien desconocido desde el punto de vista botánico. Y es aquí donde decidió dirigirse Mary S. Young para recolectar plantas durante los veranos de 1914-16 y 1918. Durante el primer año llevó un diario personal con el día a día, anotando eventos y pensamientos con gran libertad, parece ser que sin ninguna intención de difundirlos. Los publicó, aunque 48 años después, su colega en el Departamento de Botánica Benjamin Carroll Tharp (1885-1964).

Mary S. Young y Carey Tharp [Tharp & Kielman, 1962]

El año 1914, acompañada de un joven de 17 años, Carey Tharp –estudiante de matemáticas y hermano pequeño de su colega Benjamin–, llegaron en tren a Marfa, donde compraron dos burros y suministros para comer. Armados con dos pistolas –un Colt automático del 25, que era el que ella llevaba en Austin cuando regresaba a casa por la noche, y un revólver del 22 de cañón largo– y una caja de herborizar, se fueron hacia el desierto. El relato comienza el día 2 de agosto, cuando llegan a Marfa en tren desde Austin y se detiene el 15 de septiembre, cuando están volviendo en diligencia desde Candelaria hacia Valentine, donde hay que suponer que toman el tren de regreso. El objetivo era explorar las montañas Davis, al norte de Marfa, y el valle de Ruidosa Hot Springs, al oeste, muy cerca del Río Grande.

Mary Young con los burros y el carruaje [Tharp & Kielman, 1962]

El primer día, incluso antes de salir de Marfa, ya se les había volcado la carga de los burros y aunque intentan arreglarlo, no hay manera de enderezarla. La escena debía ser bastante cómica, hasta el punto en que una familia que vivía en las últimas casas del pueblo se apiadan y les ayudan a conseguir un pequeño carruaje, una especie de calesa de dos ejes, con asiento frontal y sin cubierta, que pueden tirar los burros. Las montañas Davis están a unos 35 km. La adaptación al medio es rápida: los primeros días ya hay que dormir bajo las estrellas y coger el agua de ríos y pozos, algunos embarrados; pero lo más difícil es dirigir los burros, que todo el tiempo hacen honor a su mala fama. El día 6 llegan a un valle al pie de las montañas, y se instalan en una barraca de adobe abandonada hace tiempo. Será su campamento base en la exploración de los alrededores y en sus intentos de llegar al pico Livermore, que con casi 2.500 m es uno de los más altos de Texas –aunque la plataforma de Marfa, sobre la que se levanta, está a unos 1.500 m de altitud. Durante la segunda quincena de agosto hacen tres intentos de acceso al pico, pero el desconocimiento del terreno, la ausencia de senderos y la serie de valles y acantilados les impiden llegar a la cima, aunque en el segundo intento se quedan muy cerca, aunque han de retroceder por una tormenta. La zona es interesante paisajísticamente, con agua en los arroyos y bosques de robles en las montañas, y con sabinas y pinos esparcidos y las recolecciones son provechosas. También tienen encuentros repentinos, un día con un oso negro joven que huye a toda prisa, otro con una serpiente de cascabel que acaba matando. Entretanto, los días que permanecen alrededor de la barraca, ella se dedica a secar las plantas y herborizar por los alrededores, mientras que Carey se aplica todo el tiempo a los ejercicios de matemáticas, que debe enviar a la Universidad en septiembre.

El día 1 de septiembre abandonan la barraca e inician la marcha hacia el valle de Ruidosa Hot Springs, donde llegarán el día 4. Después de encontrar todo el camino lleno de barro, hacen una primera parada en el pueblo de Valentine, donde se aprovisionan y pueden reemplazar los zapatos y la ropa de Carey, ya muy dañados. Continúan hacia Candelaria, a orillas del Río Grande, pero se les pone a llover a cántaros y como bajo la calesa también se mojan, deciden seguir adelante a pesar de la lluvia. Hacia el anochecer llegan a un rancho, donde un mejicano les da de comer y el propietario, confundiéndolos con buhoneros, les deja dormir en el establo con las vacas. En Candelaria alquilan una tienda de campaña y se van hacia el valle de las fuentes termales. Allí instalan la tienda cerca del río, arreglan una charca de agua para bañarse, y se tratan con algunos de los termalistas, temporales o más o menos permanentes, de los alrededores.

Ruta de ida, de unos 200 km, entre Marfa y Ruidosa Hot Springs. El regreso fue en diligencia desde Candelaria [de Google Earth]

El diario presenta entradas casi a diario, relatando los acontecimientos cotidianos, extraordinarios o no, pero también incluye reflexiones y pensamientos. El estilo es concreto, a menudo gracioso, nunca perdiendo la oportunidad de reírse de sí misma o de su compañero, sobre todo cuando ella se obsesiona con la merma de las provisiones, describe sus peleas con los burros o comenta los encuentros con diferentes animales. Pero también se emociona con los paisajes y los silencios que los rodean. Y también explica las labores del hogar cuando toca coser alguna pieza de ropa, cocinar o hacer la colada. La comida, o más bien hay que decir la obsesión por su escasez, es uno de los temas recurrentes del relato mientras están en las montañas Davis. Al aprovisionamiento inicial en Marfa –harina y sémola de trigo y de maíz, cerdo salado, frijoles, mantequilla, pan...–, añaden unos pocos víveres que les venden en alguno de los ranchos por donde pasan, pero no sin hacerse de rogar: harina, azúcar, café, arroz, cerdo salado. La mantequilla y el pan ya desaparecen los primeros días, cuando una noche unos caballos medio salvajes saquean su despensa. En cambio, pueden cocinar algún conejo, y también lo intentan con alguna ardilla de tierra y con una especie de liebre pequeña, pero parece que la experiencia gastronómica es más bien frustrante. El viaje desde las montañas Davis hasta Ruidosa Hot Springs es dificultoso por culpa de la lluvia y el barro, pero el humor sigue haciendo acto de presencia. También sorprende la descripción que hace de los personajes con que se encuentran, siempre breve y esquemática, pero también siempre una excusa para hacer aparecer una sonrisa en el lector.

El diario publicado lleva numerosas notas a pie de página, aclaratorias de las circunstancias del viaje. Son obra de Benjamin C. Tharp y Chester V. Klieman y mayoritariamente son precisiones sobre topónimos o personajes que se mencionan en los diarios, en un intento de poder reconstruir, hacia el 1960, lo más fielmente posible la ruta de 1914. Benjamin también recurre a los recuerdos de su hermano Carey o de algunos de los protagonistas –o de sus descendientes–, para complementar o acotar algunos apuntes del diario.

A Mary Sophie Young le detectaron un cáncer en febrero de 1919 y murió al mes siguiente. Durante la expedición de 1914 hizo 391 colecciones, y en los poco más de seis años que estuvo a cargo del herbario, éste pasó de los 2.500 números a los 16.000. Sus dos libros, sobre las claves y el catálogo de la flora de los alrededores de Austin, publicados póstumamente, han estado en circulación y uso durante muchos años.

Tharp, B.C. & Ch.V. Kielman (1962). Mary S. Young's Journal of Botanical Explorations in Trans-Pecos Texas, August-September, 1914. Texas State Historical Association. The Southwestern Historical Quarterly65(3): 366-393; 65(4): 512-538. [Se puede leer en JSTOR]

wearyourheartout

Saturday, August 22, 2020

Thousand Ways To Backdoor A Windows Domain (Forest)

Ways to backdoor a domain

Other tricks

Forensics

Lessons learned

Related news

XDR: The Next Level Of Prevention, Detection And Response [New Guide]

Related links

Friday, August 21, 2020

How Do I Get Started With Bug Bounty ?

Related articles

How To Install Metasploit In Termux

Read more

Mary S. Young: Una Botánica, Un Joven, Dos Burros Y Un Desierto (Trans-Pecos, 1914).

Read more

How to

Blog Archive

Followers