Gli operatori red team hanno ottenuto l’accesso da amministratori di rete fingendosi nuovi membri del personale IT e spalando la neve

Una valutazione della sicurezza presso la sede di un cliente ha preso una piega insolita quando due operatori red team professionisti hanno sfruttato una tempesta invernale e un po’ di improvvisazione per penetrare più a fondo nelle difese dell’azienda. I tester, che lavoravano per Echelon Risk + Cyber, avevano il compito di valutare la sicurezza fisica e di rete dell’organizzazione e hanno finito per dimostrare quanto rapidamente un tentativo di ingegneria sociale in loco possa trasformarsi in una compromissione completa.

Secondo il team, sono entrati da un’area di manutenzione già aperta, poi hanno detto al personale di essere nuovi assunti dell’IT senza tesserino. Quando sono stati interrogati, uno di loro si è offerto di aiutare a spalare la neve, guadagnandosi così sufficiente fiducia per muoversi nell’edificio. Mentre un tester spalava la neve all’esterno, l’altro è riuscito ad accedere agli spazi interni e a cercare un punto in cui collegare alla rete un piccolo Raspberry Pi.

La prima porta Ethernet che hanno provato era protetta dal controllo degli accessi alla rete, ma un’altra porta in una sala conferenze non lo era. Il dispositivo è stato collegato lì e nascosto alla vista dietro alcuni bidoni della spazzatura. Sebbene i tester abbiano avuto difficoltà a uscire dalle porte controllate tramite badge, sono riusciti a lasciare l’edificio dall’ingresso di manutenzione dopo che il personale ha fatto loro cenno di uscire.

La violazione è stata infine scoperta quando il personale addetto alla manutenzione ha ringraziato il reparto IT per l’aiuto del presunto nuovo dipendente, salvo poi ricevere conferma dall’IT che nessun membro del personale con quelle caratteristiche esisteva. La sicurezza ha esaminato i filmati delle telecamere e ha persino controllato la targa di un’auto a noleggio, ma il Raspberry Pi è rimasto inosservato per due settimane.

Durante quel periodo, il red team ha utilizzato il dispositivo per raggiungere Active Directory, identificare i controller di dominio ed eseguire attacchi di password spraying. Ha riferito di aver trovato decine di account che utilizzavano la password winter2023!, ottenendo così un punto d’appoggio per mappare le risorse interne. In seguito ha individuato vulnerabilità in Active Directory Certificate Services, tra cui diversi modelli vulnerabili e un problema con un’autorità di certificazione, sfruttando tali falle per ottenere l’accesso come amministratore di dominio.

Principali debolezze evidenziate

• Il personale ha accettato un visitatore senza tesserino che sembrava integrarsi nell’ambiente
• Una porta di rete accessibile ha consentito il collegamento di un dispositivo non autorizzato
• Le password deboli erano ampiamente diffuse tra gli account degli utenti
• L’autenticazione a più fattori non era applicata ovunque

I tester hanno affermato che l’esercitazione ha mostrato come l’accesso fisico, controlli delle identità deboli e porte di rete trascurate possano combinarsi e creare una grave falla di sicurezza.