Red-Team-Mitglieder erlangten Netzwerkadministratorzugriff, nachdem sie sich als neue IT-Mitarbeiter ausgaben und Schnee schaufelten

Eine Sicherheitsüberprüfung an einem Kundenstandort nahm eine ungewöhnliche Wendung, als zwei professionelle Red-Team-Mitglieder einen Wintersturm und etwas Improvisation nutzten, um tiefer in die Abwehrmaßnahmen eines Unternehmens einzudringen. Die für Echelon Risk + Cyber arbeitenden Tester sollten die physische Sicherheit und Netzwerksicherheit der Organisation bewerten und zeigten schließlich, wie schnell ein Social-Engineering-Versuch vor Ort zu einer vollständigen Kompromittierung eskalieren kann.

Nach Angaben des Teams betraten sie das Gebäude durch einen bereits geöffneten Wartungsbereich und erklärten den Mitarbeitern, sie seien neue IT-Mitarbeiter ohne Ausweise. Als einer von ihnen darauf angesprochen wurde, bot er an, beim Schneeräumen zu helfen, wodurch sie genügend Vertrauen gewannen, um sich im Gebäude zu bewegen. Während einer der Tester draußen Schnee schaufelte, konnte der andere Innenbereiche betreten und nach einem Ort suchen, an dem er einen kleinen Raspberry Pi mit dem Netzwerk verbinden konnte.

Der erste Ethernet-Anschluss, den sie ausprobierten, war durch eine Netzwerkzugangskontrolle geschützt, ein anderer Anschluss in einem Konferenzraum jedoch nicht. Dort schlossen sie das Gerät an und verbargen es hinter Mülleimern. Obwohl die Tester Schwierigkeiten hatten, durch die ausweiskontrollierten Türen hinauszugelangen, konnten sie das Gebäude durch den Wartungseingang verlassen, nachdem Mitarbeiter sie hinausgewunken hatten.

Der Einbruch wurde schließlich bemerkt, als sich die Wartungsabteilung später bei der IT-Abteilung für die Hilfe des vermeintlich neuen Mitarbeiters bedankte – woraufhin die IT bestätigte, dass es keine solchen Mitarbeiter gab. Die Sicherheitsabteilung wertete Überwachungsaufnahmen aus und überprüfte sogar das Kennzeichen eines Mietwagens, doch der Raspberry Pi blieb zwei Wochen lang unentdeckt.

Während dieses Zeitraums nutzte das Red Team das Gerät, um auf Active Directory zuzugreifen, Domänencontroller zu identifizieren und Passwort-Spraying durchzuführen. Nach eigenen Angaben fanden sie Dutzende Konten, die das Passwort winter2023! verwendeten, wodurch sie einen Ausgangspunkt für die Erfassung interner Ressourcen erhielten. Später entdeckten sie Schwachstellen in den Active Directory-Zertifikatdiensten, darunter mehrere verwundbare Vorlagen und ein Problem mit einer Zertifizierungsstelle, und nutzten diese Schwachstellen, um Zugriff mit Domänenadministratorrechten zu erlangen.

Hervorgehobene zentrale Schwachstellen

• Mitarbeiter akzeptierten einen Besucher ohne Ausweis, der den Eindruck erweckte, dazuzugehören
• Ein zugänglicher Netzwerkanschluss ermöglichte die Verbindung eines nicht autorisierten Geräts
• Schwache Passwörter waren bei Benutzerkonten weit verbreitet
• Multi-Faktor-Authentifizierung war nicht überall verpflichtend

Die Tester erklärten, die Übung habe gezeigt, wie physischer Zugriff, schwache Identitätskontrollen und übersehene Netzwerkanschlüsse zusammen zu einem gravierenden Sicherheitsversagen führen können.