mdsecactivebreach/o365-attack-toolkitOffice365を攻撃するためのツールキット
o365-attack-toolkit を使用すると、オペレーターは OAuth フィッシング攻撃を実行できます。
従来の静的な定義モデルから、アカウントとリアルタイムで完全に「対話的」に動作するモデルに移行することにしました。
フィッシングエンドポイントは、OAuth トークンフィッシングを実行する HTML ファイルを提供する役割を担います。
その後、トークンはバックエンドサービスによって定義された攻撃の実行に使用されます。
管理インターフェースを使用して、Microsoft Graph API から抽出された情報を検査できます。
管理インターフェースを使用して、特定のキーワードを検索することでユーザーのメールにアクセスできます。キーワード付きメールをダウンロードする従来の機能は廃止されました。
このツールの新しいバージョンでは、侵害されたユーザーから特定のメールアドレスに対して、添付ファイルを含む HTML/TXT メールを送信できます。この機能は、ユーザーからスピアフィッシングメールを送信する方が信憑性が高いため、非常に便利です。
Microsoft Graph API を使用して、OneDrive、OneDrive for Business、SharePoint ドキュメントライブラリ全体のファイルにアクセスできます。管理インターフェースを使用して、ユーザーのファイルを対話的に検索およびダウンロードできます。キーワード付きファイルをダウンロードする従来の機能は廃止されました。
OneDrive/SharePoint にホストされているユーザーのドキュメントは、Graph API を使用して変更できます。このツールキットの初期バージョンでは、最後の 10 ファイルに事前定義されたマクロがバックドアとして仕込まれていました。これは Red Team 運用中にリスクがあったため、使用は限定的でした。そのため、攻撃をより制御できるように、手動のファイル置換機能を実装しました。
cd %GOPATH%
git clone https://github.com/mdsecactivebreach/o365-attack-toolkit
cd o365-attack-toolkit
dep ensure
go build
設定例は以下の通りです:
[server]
host = 127.0.0.1
externalport = 30662
internalport = 8080
[oauth]
clientid = [REDACTED]
clientsecret = [REDACTED]
scope = "offline_access contacts.read user.read mail.read mail.send files.readWrite.all files.read files.read.all openid profile"
redirecturi = "http://localhost:30662/gettoken"
このツールキットを使用する前に、Azure Portal でアプリケーションを作成する必要があります。 Azure Active Directory -> アプリの登録 -> 新しいアプリケーションの登録 に移動します。
アプリケーションを作成したら、構成ファイルにアプリケーション ID をコピーします。
次の画像に示すように、クライアントシークレットを作成する必要があります:
構成ファイルのクライアントシークレットを更新します。
管理インターフェースを使用すると、オペレーターは侵害されたユーザーと対話できます。
