praetorian-inc/oauthseekerUne application OAuth malveillante qui peut être utilisée pour des attaques de phishing internes et externes ciblant les utilisateurs de Microsoft Azure et Office365.
OAuthSeeker est un outil red team pour mener des attaques de phishing en utilisant des applications OAuth malveillantes afin de compromettre les identités des utilisateurs dans Microsoft Azure et Office365.
OAuthSeeker offre les fonctionnalités clés suivantes :
git clone https://github.com/praetorian-inc/oauthseeker.git
cd oauthseeker
go build -o oauthseeker ./cmd/oauthseeker/
export JWT=$(az account get-access-token --resource https://graph.microsoft.com | jq -r .accessToken)
sudo oauthseeker setup --access_token $JWT --azure --redirect_url $URL --name $NAME
open http://127.0.0.1:8080/admin/
OAuthSeeker fournit un panneau d'administration où les opérateurs peuvent visualiser les identifiants collectés, actualiser les jetons d'accès et utiliser l'API Microsoft Graph via une instance intégrée de GraphRunner. Les opérateurs peuvent explorer les identifiants individuels, en actualisant les jetons d'accès si nécessaire pour maintenir l'accès aux ressources Microsoft Graph. L'interface intégrée de GraphRunner simplifie la navigation vers OneDrive, SharePoint, Teams et Outlook, et peut être consultée via l'onglet « GraphRunner » dans la barre de navigation d'OAuthSeeker.
OAuthSeeker obtient des identifiants valides pour l'API Microsoft Graph, comprenant un JWT et un jeton d'actualisation, après la réussite du flux OAuth avec l'application. OAuthSeeker effectue automatiquement l'opération d'actualisation du jeton toutes les vingt-quatre heures pour garantir que les jetons d'actualisation restent actifs pendant toute leur période de validité et ne soient pas révoqués prématurément. Cependant, OAuthSeeker ne fournit aucun moyen direct d'exploiter ces jetons après leur obtention via une campagne de phishing par consentement OAuth. Cependant, il existe plusieurs outils existants qui peuvent être utilisés pour exploiter ces jetons pour la post-exploitation.
GraphRunner est un kit d'outils de post-exploitation pour Microsoft 365, permettant aux attaquants d'exploiter un accès authentifié à l'API Graph de Microsoft. Avec GraphRunner, les opérateurs peuvent rechercher et exporter des données à partir des e-mails, SharePoint et Teams, énumérer les autorisations des utilisateurs, déployer des applications malveillantes, et plus encore. C'est un moyen puissant de piller les comptes compromis et de maintenir la persistance dans un environnement Microsoft 365. Black Hills Information Security a initialement développé cet outil, et ils ont un webcast informatif intitulé GraphRunner: A Post-Exploitation Toolset for M365 discutant de l'utilisation de l'outil et des chemins d'attaque courants.
GraphSpy est un outil polyvalent conçu pour les opérations avancées de red team dans Microsoft 365, avec une interface web locale pour une gestion efficace des jetons. Il permet un accès simplifié à OneDrive, SharePoint et Outlook, en prenant en charge le phishing par code d'appareil avec interrogation simultanée des codes. L'outil simplifie les interactions avec les API Microsoft, permettant aux attaquants d'exécuter des requêtes personnalisées et d'effectuer des opérations ciblées d'extraction de données et de persistance sur plusieurs projets. Plus d'informations sont disponibles dans une interview YouTube avec l'auteur de GraphSpy intitulée GraphSpy - Offensive Security Tool for Microsoft 365 with Keanu Nys.
OAuthAzure est un utilitaire qui peut être utilisé avec OAuthSeeker pour la post-exploitation et l'énumération des ressources dans un environnement Azure. OAuthSeeker vous permet d'effectuer une attaque de phishing où vous pouvez demander des privilèges user_impersonation dans Microsoft Azure, ce qui vous permet alors d'accéder à toutes les ressources Azure au nom du compte utilisateur victime. Par défaut, OAuthSeeker demande des jetons de l'API Graph car l'audience de jeton demandée pour le JWT peut être soit pour l'API Microsoft Graph, soit pour Microsoft Azure, mais pas les deux en même temps. Par défaut, nous demandons un accès à l'API Graph dans OAuthSeeker, mais OAuthAzure peut ensuite être utilisé pour échanger le JWT et le jeton d'actualisation obtenus contre un jeton Microsoft Azure pour accéder aux capacités d'usurpation d'identité Azure.
OAuthPillage est un utilitaire inclus dans le framework OAuthSeeker pour effectuer de la post-exploitation en utilisant des jetons compromis de l'API Microsoft Graph. Cet utilitaire vous permet d'exploiter un jeton compromis de l'API Microsoft Graph avec la capacité de lister les privilèges utilisateur via la permission User.ReadBasic.All afin de vider toutes les informations sur les utilisateurs disponibles dans Microsoft Azure pour les utiliser dans des attaques de phishing supplémentaires ciblant une organisation victime.
Reportez-vous à la documentation et aux instructions de configuration détaillées pour des instructions de configuration détaillées, des options de configuration, des considérations de sécurité opérationnelles et des exemples d'utilisation.