365-Stealer

Inhaltsverzeichnis

• Über 365-Stealer
• Über den Illicit Consent Grant Attack
• Hauptfunktionen von 365-Stealer
• Einrichtung der Angriffsumgebung
  • Automatische Azure-App-Registrierung
  • Manuelle Azure-App-Registrierung
  • Konfigurieren der Anwendung
    • Erstellen von Client-Geheimnissen
    • Hinzufügen von API-Berechtigungen
• Einrichten von 365-Stealer
  • Aktivieren von SQLite3 auf dem Apache-Server
• Konfigurieren des 365-Stealer-Verwaltungsportals
  • Ändern von Pfaden
  • Aktivieren der IP-Whitelist für das 365-Stealer-Verwaltungsportal
• OPSEC-Überlegungen
• Kommandozeilen-Hilfe
• Blog
• Fehler und Funktionswünsche
• Mitwirken

Über

365-Stealer ist ein Python3-basiertes Tool zur Automatisierung von Angriffen durch illegale Einwilligungserteilung (Illicit Consent Grant Attack). Wenn ein Zielbenutzer unwissentlich einer Angreiferanwendung die Berechtigung erteilt, erhält der Angreifer Zugriff auf das Refresh-Token des Opfers. Dieses Refresh-Token kann dann verwendet werden, um andere Token zu generieren, sodass der Angreifer auf vertrauliche Daten wie E-Mails, Dateien auf OneDrive und Notizen zugreifen kann – ohne weitere Eingaben des Opfers. Die manuelle Ausnutzung dieses Angriffs ist zeitaufwendig, aber 365-Stealer vereinfacht und automatisiert den Prozess.

365-Stealer bietet zwei Schnittstellen:

1. CLI (Command Line Interface) – Vollständig in Python3 entwickelt, bietet die CLI direkten Zugriff auf die Funktionen des Tools.
2. Web-UI – Die Webbenutzeroberfläche ist in PHP entwickelt, während Python3 im Hintergrund die Befehle ausführt.

Verstehen des Illicit Consent Grant Attacks

Ein Illicit Consent Grant Attack (Angriff durch illegale Einwilligungserteilung) tritt auf, wenn ein Angreifer eine bösartige Anwendung in Azure registriert und den Zugriff auf vertrauliche Daten wie Kontakte, E-Mails oder Dokumente anfordert. Der Angreifer täuscht einen Benutzer, indem er die Anwendung als legitim präsentiert und ihn dazu bringt, seine Einwilligung zu geben. Sobald das Opfer auf „Akzeptieren“ klickt, gewährt es dem Angreifer unwissentlich Zugriff, sodass dieser im Namen des Opfers handeln kann, ohne dessen Organisationsanmeldeinformationen zu benötigen.

Um es deutlicher zu erklären: Sobald der Benutzer die Berechtigung erteilt, sendet Entra ID ein Token an den Server des Angreifers. Dieses Token gibt dem Angreifer die Möglichkeit, E-Mails zu lesen, E-Mails zu senden, auf Dateien auf OneDrive zuzugreifen und andere bösartige Aktivitäten mit den Anmeldeinformationen des Opfers durchzuführen. Im Gegensatz zu Phishing-Angriffen, die auf den Diebstahl von Passwörtern abzielen, umgehen Illicit Consent Grant Attacks die Authentifizierung vollständig, indem sie das Berechtigungssystem von Cloud-Anwendungen missbrauchen.

Hauptfunktionen von 365-Stealer

• Stehlen von Refresh-Tokens: Das Tool erfasst Refresh-Tokens von Opfern, die mindestens 90 Tage lang zur Generierung neuer Zugriffstokens verwendet werden können, wodurch ein dauerhafter Zugriff auf deren Konten möglich ist.
• E-Mails im Namen des Opfers senden: 365-Stealer kann E-Mails mit Anhängen vom Konto des Opfers an andere Benutzer senden, ohne dass das Opfer davon erfährt.
• Erstellen bösartiger Outlook-Regeln: Es kann schädliche Regeln im Outlook des Opfers erstellen, z. B. eingehende E-Mails an eine vom Angreifer kontrollierte E-Mail-Adresse weiterleiten.
• Hochladen von Dateien auf OneDrive: Das Tool kann beliebige Dateien in das OneDrive-Konto des Opfers hochladen.
• Stehlen von Daten aus OneDrive, OneNote und E-Mails: 365-Stealer kann Dateien aus OneDrive und OneNote extrahieren sowie alle E-Mails einschließlich Anhänge aus dem Konto des Opfers herunterladen.
• Verwalten gestohlener Daten: Das 365-Stealer-Verwaltungsportal ermöglicht es Angreifern, alle kompromittierten Daten zu verwalten, einschließlich Refresh-Tokens, E-Mails, Dateien und Benutzer.
• Hintertür in OneDrive-Dokumente: Das Tool kann eine in OneDrive gespeicherte .docx-Datei mit einem Hintertür-Makro versehen und die Dateierweiterung durch .doc ersetzen.
• Speichern kompromittierter Daten: Alle gesammelten Informationen wie Refresh-Tokens, E-Mails, Dateien und Benutzerdaten aus dem Mandanten des Opfers sowie Konfigurationen werden in einer Datenbank gespeichert.
• Anpassbare Verzögerung beim Datendiebstahl: Angreifer können eine Verzögerung in Sekunden festlegen, um bei der Datenernte eine Erkennung zu vermeiden.
• Hosten einer Phishing-Anwendung: Das Tool kann eine gefälschte Anwendung zur Durchführung von Illicit Consent Grant Attacks hosten, entweder über den Befehl --run-app im Terminal oder über das 365-Stealer-Verwaltungsportal.
• Selektiver Token-Diebstahl: Mit dem Flag --no-stealing können nur die Token gestohlen werden, ohne weitere Aktionen auszuführen, sodass sie später ausgenutzt werden können.
• Anfordern neuer Zugriffstokens: Das Tool ermöglicht es Angreifern, neue Zugriffstokens für alle Benutzer oder bestimmte Benutzer im kompromittierten Mandanten anzufordern.
• Generieren von Zugriffstokens mit Anmeldeinformationen: Mit den Flags --refresh-token, --client-id und --client-secret können Angreifer problemlos neue Zugriffstokens erhalten.
• Automatisieren der Azure-App-Registrierung: Das Flag --app-registration automatisiert die Azure-App-Registrierung und erleichtert die Einrichtung der Angriffsinfrastruktur ohne manuellen Eingriff.
• Selektiver Datendiebstahl: Mit dem Flag --custom-steal können Angreifer gezielt Daten aus bestimmten Quellen wie OneDrive, Outlook usw. stehlen.
• Gemeinsame Daten: Alle kompromittierten Daten werden in einer database.db-Datei gespeichert, die mit dem Team geteilt werden kann, um vorhandene gestohlene Tokens und Daten zu nutzen.
• Suchen und Filtern von E-Mails: Angreifer können über das 365-Stealer-Verwaltungsportal nach bestimmten E-Mails nach Stichwort, Betreff, E-Mail-Adresse des Benutzers suchen oder E-Mails mit Anhängen filtern.
• Exportieren von Benutzerdaten: Das Tool ermöglicht es Angreifern, Benutzerinformationen aus dem kompromittierten Mandanten zu exportieren und die Daten zur weiteren Analyse oder Verwendung in eine CSV-Datei zu speichern.

Einrichtung der Angriffsumgebung

Automatische Azure-App-Registrierung

Um eine Anwendung automatisch in Azure mit dem bereitgestellten Python-Skript zu registrieren, gehen Sie wie folgt vor:

1. Stellen Sie sicher, dass Python3 auf Ihrem Rechner installiert ist.

2. Klonen Sie das 365-Stealer-Repository:

   git clone https://github.com/AlteredSecurity/365-Stealer.git
   cd 365-Stealer
   

3. Installieren Sie die erforderlichen Python-Module:

   pip install -r requirements.txt
   

4. Führen Sie das Skript zur automatischen Azure-App-Registrierung aus:

   python 365-Stealer.py --app-registration