praetorian-inc/oauthseekerUn'applicazione OAuth dannosa che può essere sfruttata per attacchi di phishing sia interni che esterni rivolti agli utenti di Microsoft Azure e Office365.
OAuthSeeker è uno strumento red team per eseguire attacchi di phishing tramite applicazioni OAuth maligne al fine di compromettere le identità degli utenti all'interno di Microsoft Azure e Office365.
OAuthSeeker fornisce le seguenti caratteristiche principali:
git clone https://github.com/praetorian-inc/oauthseeker.git
cd oauthseeker
go build -o oauthseeker ./cmd/oauthseeker/
export JWT=$(az account get-access-token --resource https://graph.microsoft.com | jq -r .accessToken)
sudo oauthseeker setup --access_token $JWT --azure --redirect_url $URL --name $NAME
open http://127.0.0.1:8080/admin/
OAuthSeeker fornisce un pannello di amministrazione in cui gli operatori possono visualizzare le credenziali raccolte, aggiornare i token di accesso e utilizzare Microsoft Graph API tramite un'istanza integrata di GraphRunner. Gli operatori possono esplorare le singole credenziali, aggiornando i token di accesso secondo necessità per mantenere l'accesso alle risorse di Microsoft Graph. L'interfaccia GraphRunner integrata semplifica la navigazione verso OneDrive, SharePoint, Teams e Outlook e può essere raggiunta tramite la scheda "GraphRunner" nella barra di navigazione di OAuthSeeker.
OAuthSeeker ottiene credenziali valide per Microsoft Graph API, inclusi un JWT e un refresh token, al completamento con successo del flusso OAuth con l'applicazione. OAuthSeeker esegue automaticamente l'operazione di aggiornamento del token ogni ventiquattro ore per garantire che i refresh token rimangano attivi per l'intero periodo di validità e non vengano revocati prematuramente. Tuttavia, OAuthSeeker non fornisce alcun mezzo diretto per utilizzare operativamente questi token dopo che sono stati ottenuti tramite una campagna di phishing basata sul consenso OAuth. Esistono comunque diversi strumenti che possono essere utilizzati per sfruttare questi token per la post-esplorazione.
GraphRunner è un toolkit di post-esplorazione per Microsoft 365 che consente agli attaccanti di sfruttare l'accesso autenticato alle API Graph di Microsoft. Con GraphRunner, gli operatori possono cercare ed esportare dati da email, SharePoint e Teams, enumerare i permessi degli utenti, distribuire applicazioni maligne e altro ancora. È un modo potente per saccheggiare account compromessi e mantenere la persistenza all'interno di un ambiente Microsoft 365. Black Hills Information Security ha sviluppato originariamente questo strumento e ha un webcast informativo intitolato GraphRunner: A Post-Exploitation Toolset for M365 che discute l'utilizzo dello strumento e i percorsi d'attacco comuni.
GraphSpy è uno strumento multiuso progettato per operazioni red team avanzate in Microsoft 365, con un'interfaccia web locale per una gestione efficiente dei token. Consente un accesso semplificato a OneDrive, SharePoint e Outlook, supportando il phishing tramite codice dispositivo con polling simultaneo dei codici. Lo strumento semplifica le interazioni con le API Microsoft, consentendo agli attaccanti di eseguire richieste personalizzate e operazioni mirate di estrazione dati e persistenza su più progetti. Ulteriori approfondimenti sono disponibili in un'intervista YouTube con l'autore di GraphSpy intitolata GraphSpy - Offensive Security Tool for Microsoft 365 with Keanu Nys.
OAuthAzure è un'utilità che può essere sfruttata insieme a OAuthSeeker per la post-esplorazione e l'enumerazione delle risorse all'interno di un ambiente Azure. OAuthSeeker consente di eseguire un attacco di phishing in cui puoi richiedere privilegi user_impersonation all'interno di Microsoft Azure, permettendoti poi di accedere a tutte le risorse Azure per conto dell'account utente vittima. OAuthSeeker richiede per impostazione predefinita token per Graph API, poiché il pubblico del token richiesto per il JWT può essere sia Microsoft Graph API che Microsoft Azure, ma non entrambi contemporaneamente. Per impostazione predefinita, in OAuthSeeker richiediamo l'accesso a Graph API, ma OAuthAzure può poi essere sfruttato per scambiare il JWT e il refresh token ottenuti con un token di Microsoft Azure per accedere alle capacità di impersonificazione di Azure.
OAuthPillage è un'utilità inclusa nel framework OAuthSeeker per eseguire la post-esplorazione sfruttando i token compromessi di Microsoft Graph API. Questa utility consente di sfruttare un token compromesso di Microsoft Graph API con la capacità di elencare i privilegi degli utenti tramite il permesso User.ReadBasic.All, per scaricare tutte le informazioni sugli utenti disponibili all'interno di Microsoft Azure, da utilizzare in ulteriori attacchi di phishing successivi mirati all'organizzazione vittima.
Fai riferimento alla documentazione e alle istruzioni di configurazione approfondite per istruzioni dettagliate di configurazione, opzioni di configurazione, considerazioni sulla sicurezza operativa ed esempi di utilizzo.