Ivanti Connect Secure VPN विशेषाधिकार वृद्धि

Ivanti Secure Access (पूर्व में Pulse Secure) विशेषाधिकार वृद्धि Cobalt Strike BOF (CVE-2023-35080).
^{द्वारा शोषण Alex और BOF द्वारा Tijme. द्वारा संभव बनाया गया Northwave Cyber Security}

विवरण

यह एक Cobalt Strike (CS) Beacon Object File (BOF) और निष्पादन योग्य है जो Ivanti Secure Access (पूर्व में Pulse Secure) VPN क्लाइंट (CVE-2023-35080) का शोषण करता है। निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता मोड से, यह कर्नेल ड्राइवर में एक कमजोरी का शोषण करके बीकन प्रक्रिया टोकन विशेषाधिकारों को सिस्टम प्रक्रिया टोकन विशेषाधिकारों से अधिलेखित करता है। कर्नेल ड्राइवर प्रतीकात्मक लिंक में एक ACL है जो परिभाषित करता है कि Everyone इसका एक हैंडल खोल सकता है। इस कमजोरी को खोजने के लिए किया गया शोध RedTreat 2023 और BSIDES London 2023 में प्रस्तुत किया गया है (प्रस्तुति).

शोषण Windows 10 Pro 22H2 10.0.19045 (x64) पर विकसित किया गया है। बाद में इसे संशोधित और परीक्षण किया गया ताकि Windows 11 Pro 23H2 22631 (x64) पर काम करे। Windows के अन्य संस्करण शायद डिफ़ॉल्ट रूप से समर्थित न हों। परीक्षण किए गए समर्थित Windows की पूरी सूची:

• Windows 10 Pro 22H2 10.0.19045 (x64)
• Windows 11 Pro 23H2 10.0.22621 (x64)
• Windows 11 Pro 23H2 10.0.22631 (x64)

उपयोग

पहले इस रिपॉजिटरी को क्लोन करें। फिर कोड की समीक्षा करें, स्रोत से संकलित करें (MinGW की आवश्यकता है) और इसे Cobalt Strike में या एक स्टैंडअलोन PE-फ़ाइल के रूप में उपयोग करें।

PE और BOF में संकलित करें

make

शोषण का उपयोग

महत्वपूर्ण! निम्नलिखित चरणों को क्रम में करें (निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता मोड से):

1. कमजोर ड्राइवर प्रारंभ करें
2. VPN क्लाइंट बंद करें
3. शोषण चलाएं

1. कमजोर ड्राइवर प्रारंभ करें

पहले, सुनिश्चित करें कि कमजोर ड्राइवर चल रहा है। यदि यह नहीं चल रहा है, तो चिंता न करें! आप इसे निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता मोड से प्रारंभ कर सकते हैं। ड्राइवर का नाम jnprTdi_ से शुरू होता है, और HKLM\SYSTEM\CurrentControlSet\Services पर पाया जा सकता है। यह हमेशा स्थापित होता है जब VPN क्लाइंट स्थापित होता है, लेकिन यह डिफ़ॉल्ट रूप से नहीं चलता है।

कमजोर ड्राइवर तब शुरू होता है जब पीड़ित मशीन पर एक (निम्न-विशेषाधिकार प्राप्त) उपयोगकर्ता एक (दुष्ट) VPN सर्वर से कनेक्ट होता है जिसमें TDI फेल-ओवर विकल्प सक्षम होता है। हम उस व्यवहार की नकल करके स्वयं ड्राइवर को आसानी से शुरू कर सकते हैं, क्योंकि हम पहले ही एक सिस्टम से समझौता कर चुके हैं और उस पर मैलवेयर चला रहे हैं। अपने स्वयं के दुष्ट उपकरण को TDI फेल-ओवर सक्षम के साथ कॉन्फ़िगर करने के लिए इस गाइड का पालन करें।

2. VPN क्लाइंट बंद करें

"%programfiles(x86)%\Common Files\Pulse Secure\Integration\pulselauncher.exe" -stop

3. शोषण चलाएं

यदि ड्राइवर चल रहा है, और VPN क्लाइंट बंद है, तो Cobalt Strike Script Manager का उपयोग करके PulsePrivEsc.cna स्क्रिप्ट लोड करें। फिर शोषण निष्पादित करने के लिए नीचे दिए गए कमांड का उपयोग करें।

$ pulse_priv_esc

वैकल्पिक रूप से (और परीक्षण उद्देश्यों के लिए), आप सीधे संकलित निष्पादन योग्य चला सकते हैं। यह SYSTEM के रूप में एक कमांड प्रॉम्प्ट खोलेगा।

$ .\PulsePrivEsc.x64.exe

सीमाएं

• यदि ड्राइवर नहीं चल रहा है, तो इसे एक दुष्ट VPN सर्वर से कनेक्ट करके मैन्युअल रूप से शुरू करना होगा। हालांकि, यह निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता मोड से किया जा सकता है।
• VPN क्लाइंट को बंद करने की आवश्यकता है (या कम से कम कोई सक्रिय कनेक्शन नहीं होना चाहिए), अन्यथा शोषण प्रक्रिया के दौरान कमजोर IOCTL को कॉल करने से मेमोरी दूषित हो जाएगी।
• अंततः उन्नत प्रक्रिया बंद नहीं हो सकती क्योंकि इसके थ्रेड कभी नहीं रुकेंगे। यदि आप चाहें, तो आप शोषण को बदल सकते हैं ताकि सफल निष्पादन के बाद थ्रेड्स को समाप्त कर दे।
• शोषण का केवल तीन Windows संस्करणों पर परीक्षण किया गया है। इसे कर्नेल में अनिर्यातित फ़ंक्शनों के ऑफसेट प्राप्त करने की आवश्यकता है, जो पैटर्न खोजों द्वारा पाए जाते हैं। ये खोज Windows के अन्य संस्करणों पर विफल हो सकती हैं।

समस्याएं

समस्याएं या नई सुविधाएं समस्या ट्रैकर के माध्यम से रिपोर्ट की जा सकती हैं। कृपया सुनिश्चित करें कि आपकी समस्या या सुविधा किसी और द्वारा पहले से रिपोर्ट नहीं की गई है, नई प्रस्तुत करने से पहले।

कॉपीराइट

कॉपीराइट (c) 2023 Northwave Cyber Security। सर्वाधिकार सुरक्षित।