365-Stealer

جدول المحتويات

• حول 365-Stealer
• حول هجوم منح الموافقة غير المشروعة
• الميزات الرئيسية لـ 365-Stealer
• إعداد بيئة الهجوم
  • تسجيل تطبيق Azure تلقائيًا
  • تسجيل تطبيق Azure يدويًا
  • تكوين التطبيق
    • إنشاء أسرار العميل
    • إضافة أذونات API
• إعداد 365-Stealer
  • تمكين SQLite3 على خادم Apache
• تكوين بوابة إدارة 365-Stealer
  • تعديل المسارات
  • تمكين القائمة البيضاء لعناوين IP لبوابة إدارة 365-Stealer
• اعتبارات OPSEC
• مساعدة سطر الأوامر
• مدونة
• الأخطاء وطلبات الميزات
• المساهمة

حول

365-Stealer هو أداة مبنية على Python3 مصممة لأتمتة هجمات منح الموافقة غير المشروعة. عندما يمنح المستخدم الهدف الإذن unknowingly لتطبيق المهاجم، يكتسب المهاجم حق الوصول إلى رمز التحديث الخاص بالضحية. يمكن استخدام رمز التحديث هذا بعد ذلك لإنشاء رموز أخرى، مما يسمح للمهاجم بالوصول إلى البيانات الحساسة مثل رسائل البريد الإلكتروني والملفات على OneDrive والملاحظات - دون الحاجة إلى مزيد من المدخلات من الضحية. يمكن أن يستغرق استغلال هذا يدويًا وقتًا طويلاً، ولكن 365-Stealer يبسط العملية ويؤتمتها.

يأتي 365-Stealer مع واجهتين:

1. واجهة سطر الأوامر (CLI) - مبنية بالكامل باستخدام Python3، توفر الواجهة التفاعلية الوصول المباشر إلى ميزات الأداة.
2. واجهة الويب (Web UI) - تم تطوير واجهة المستخدم الرسومية باستخدام PHP، بينما يعمل Python3 في الخلفية لتنفيذ الأوامر.

فهم هجوم منح الموافقة غير المشروعة

يحدث هجوم منح الموافقة غير المشروعة عندما يسجل المهاجم تطبيقًا ضارًا داخل Azure، طالبًا الوصول إلى بيانات حساسة مثل جهات الاتصال أو رسائل البريد الإلكتروني أو المستندات. يخدع المهاجم المستخدم ليوافق على التطبيق، عادةً من خلال تقديمه كشيء شرعي. بمجرد أن ينقر الضحية على "قبول"، يوفر unknowingly الوصول للمهاجم، مما يسمح له بالتصرف نيابة عن الضحية دون الحاجة إلى بيانات اعتماد الضحية التنظيمية.

لشرح ذلك بشكل أوضح، بمجرد منح المستخدم الإذن، يرسل Entra ID رمزًا مميزًا إلى خادم المهاجم. يمنح هذا الرمز المهاجم القدرة على قراءة رسائل البريد الإلكتروني وإرسالها والوصول إلى الملفات على OneDrive وتنفيذ أنشطة ضارة أخرى باستخدام بيانات اعتماد الضحية. على عكس هجمات التصيد التي تعتمد على سرقة كلمات المرور، تتجاوز هجمات منح الموافقة غير المشروعة المصادقة تمامًا عن طريق إساءة استخدام نظام الأذونات للتطبيقات السحابية.

الميزات الرئيسية لـ 365-Stealer

• سرقة رموز التحديث: تلتقط الأداة رموز التحديث من الضحايا، والتي يمكن استخدامها لإنشاء رموز وصول جديدة لمدة 90 يومًا على الأقل، مما يوفر وصولًا مستمرًا إلى حساباتهم.
• إرسال رسائل البريد الإلكتروني نيابة عن الضحايا: يمكن لـ 365-Stealer إرسال رسائل بريد إلكتروني مرفقة من حساب الضحية إلى مستخدمين آخرين دون علمهم.
• إنشاء قواعد Outlook ضارة: يمكن للأداة إنشاء قواعد ضارة في Outlook الخاص بالضحية، مثل إعادة توجيه أي بريد وارد إلى بريد إلكتروني يتحكم فيه المهاجم.
• رفع الملفات إلى OneDrive: يمكن للأداة رفع أي ملف إلى حساب OneDrive الخاص بالضحية.
• سرقة البيانات من OneDrive و OneNote والبريد الإلكتروني: يمكن لـ 365-Stealer استخراج الملفات من OneDrive و OneNote وتفريغ جميع رسائل البريد الإلكتروني، بما في ذلك المرفقات، من حساب الضحية.
• إدارة البيانات المسروقة: تسمح بوابة إدارة 365-Stealer للمهاجمين بإدارة جميع البيانات المخترقة، بما في ذلك رموز التحديث ورسائل البريد الإلكتروني والملفات والمستخدمين.
• تخريب مستندات OneDrive: يمكن للأداة تخريب ملف .docx المخزن في OneDrive عن طريق حقن ماكرو ضار واستبدال امتداد الملف بـ .doc.
• تخزين البيانات المخترقة: يتم تخزين جميع المعلومات المجمعة، مثل رموز التحديث ورسائل البريد الإلكتروني والملفات وبيانات المستخدم من المستأجر الخاص بالضحية، جنبًا إلى جنب مع التكوينات، في قاعدة بيانات.
• تأخير قابل للتخصيص لسرقة البيانات: يمكن للمهاجمين تأخير الطلبات عن طريق تحديد وقت بالثواني لتجنب الاكتشاف أثناء سرقة البيانات.
• استضافة تطبيق تصيد: يمكن للأداة استضافة تطبيق مزيف لتنفيذ هجمات منح الموافقة غير المشروعة باستخدام الأمر --run-app في الطرفية أو من خلال بوابة إدارة 365-Stealer.
• سرقة الرموز بشكل انتقائي: باستخدام العلم --no-stealing، يمكن للأداة سرقة الرموز فقط دون إجراءات أخرى، مما يسمح للمهاجمين باستغلالها لاحقًا.
• طلب رموز وصول جديدة: تسمح الأداة للمهاجمين بطلب رموز وصول جديدة لجميع المستخدمين أو مستخدمين محددين داخل المستأجر المخترق.
• إنشاء رموز وصول باستخدام بيانات الاعتماد: باستخدام الأعلام --refresh-token و --client-id و --client-secret، يمكن للمهاجمين الحصول بسهولة على رموز وصول جديدة.
• أتمتة تسجيل تطبيق Azure: يقوم العلم --app-registration بأتمتة عملية تسجيل تطبيق Azure، مما يسهل إعداد البنية التحتية للهجوم دون تدخل يدوي.
• سرقة البيانات بشكل انتقائي: باستخدام العلم --custom-steal، يمكن للمهاجمين سرقة البيانات من مصادر محددة مثل OneDrive و Outlook وما إلى ذلك.
• البيانات المشتركة: يتم حفظ جميع البيانات المخترقة في ملف database.db، والذي يمكن مشاركته مع الفريق للاستفادة من الرموز والبيانات المسروقة الموجودة.
• البحث والتصفية في رسائل البريد الإلكتروني: يمكن للمهاجمين البحث عن رسائل بريد إلكتروني محددة حسب الكلمة الرئيسية أو الموضوع أو عنوان البريد الإلكتروني للمستخدم، أو تصفية رسائل البريد الإلكتروني التي تحتوي على مرفقات باستخدام بوابة إدارة 365-Stealer.
• تصدير بيانات المستخدم: تسمح الأداة للمهاجمين بتفريغ معلومات المستخدم من المستأجر المخترق وتصدير البيانات إلى ملف CSV لمزيد من التحليل أو الاستخدام.

إعداد بيئة الهجوم

تسجيل تطبيق Azure تلقائيًا

لتسجيل تطبيق تلقائيًا في Azure باستخدام برنامج Python النصي المقدم، اتبع الخطوات التالية:

1. تأكد من تثبيت Python3 على جهازك.

2. استنساخ مستودع 365-Stealer:

   git clone https://github.com/AlteredSecurity/365-Stealer.git
   cd 365-Stealer
   

3. تثبيت وحدات Python المطلوبة:

   pip install -r requirements.txt
   

4. تشغيل برنامج تسجيل تطبيق Azure التلقائي:

   python 365-Stealer.py --app-registration
   

• سيطالبك البرنامج بتوفير معرف مستأجر Azure الخاص بك، واسم التطبيق المطلوب، وعنوان URI لإعادة التوجيه.
• ستختار أيضًا طريقة مصادقة (OAuth مع سر العميل أو تدفق رمز الجهاز) وستحدد أذونات API (إما افتراضية، أو LowImpact، أو أذونات مخصصة).
• اتبع المطالبات لإكمال عملية تسجيل التطبيق.

تسجيل تطبيق Azure يدويًا

إذا كنت تفضل تسجيل تطبيق Azure يدويًا، فاتبع هذه الخطوات:

1. تسجيل الدخول إلى بوابة Azure: انتقل إلى https://portal.azure.com وقم بتسجيل الدخول إلى حسابك.
2. الانتقال إلى Microsoft Entra ID: من البوابة، انتقل إلى Microsoft Entra ID.
3. الذهاب إلى تسجيلات التطبيقات: انقر على App registrations في القائمة اليسرى.
4. إنشاء تسجيل جديد: انقر على New registration لبدء عملية تسجيل تطبيق جديد.
5. تقديم تفاصيل التطبيق:
   • الاسم: أدخل اسمًا لتطبيقك. سيظهر هذا الاسم للمستخدم أثناء عملية الموافقة.
   • أنواع الحسابات المدعومة: اختر Accounts in any organizational directory (Any Microsoft Entra ID tenant - Multitenant).
6. تعيين عنوان URI لإعادة التوجيه:
   • قدم عنوان URI لإعادة التوجيه الذي يشير إلى صفحة التصيد الخاصة بـ 365-Stealer. يجب أن يكون التنسيق https://<DOMAIN/IP>:<PORT>/login/authorized، حيث يتوافق النطاق أو عنوان IP مع المكان الذي ستستضيف فيه تطبيق 365-Stealer.
7. إكمال التسجيل:
   • بمجرد إدخال جميع التفاصيل، انقر على Register لإنشاء التطبيق.