SMBetray

Version 1.0.0. このツールは、攻撃者が安全でないSMB接続を傍受して変更する能力、および資格情報が既知であれば一部の安全なSMB接続を侵害する能力を示すPoC（概念実証）です。

背景

Defcon26で「SMBetray - Backdooring and Breaking Signatures」として公開されました。

SMB接続において、サーバーとクライアント間でやり取りされるデータの整合性を保護するセキュリティメカニズムは、SMB署名と暗号化です。SMB署名が使用されている場合のSMBパケットの署名は、認証段階でネットワーク上で平文で送信される情報とユーザーのパスワードから導出された鍵に基づいています。ユーザーのパスワードが既知の場合、攻撃者はSessionBaseKeyとその他すべてのSMB鍵を再作成し、それらを利用してSMBパケットを変更し、再署名することで、サーバーとクライアントによって有効で正当なパケットとして扱われるようにすることができます。さらに、ドメインコントローラー以外のほとんどの環境では署名がデフォルトで無効になっているため、署名を破る必要性は稀です。

このツールの目的は、MiTM（中間者攻撃）におけるSMBの焦点を、リレー接続によるサーバー攻撃から、悪意のあるファイルやバックドア/置き換えられたデータを利用したクライアント攻撃に切り替えることです。最後に、暗号化はほとんど使用されないため、このツールは最低限、ネットワーク上で平文で送信されるファイルを盗むことができます。これはシステムの列挙に役立つ場合もあれば、傍受したデータが機密性の高い性質（PCI、PIIなど）を持つ場合に損害を与える可能性もあります。

詳細な背景情報とデモはこちらをご覧ください https://blog.quickbreach.io/smbetray-backdooring-and-breaking-signatures/

インストール

iptablesを使用するシステムが必要です

sudo bash install.sh 

使用方法

まず、被害者とそのゲートウェイまたは宛先ネットワーク共有の間で双方向のARPキャッシュポイズニング攻撃を実行します。例：

sudo arpspoof -i <iface> -c both -t <target_ip> -r <gateway_ip>

次に、いくつかの攻撃モジュールを使用してsmbetrayを実行します

sudo ./smbetray.py --passive ./StolenFilesFolder --lnkSwapAll "powershell -noP -sta -w 1 -enc AABCAD....(etc)" -I eth0

デモ

ツールのデモはこちらで見つけることができます：https://blog.quickbreach.io/smbetray-backdooring-and-breaking-signatures/

機能

• ワイヤ上で平文で送信されたファイルを受動的にダウンロード
• クライアントをKerberosではなくNTLMv2にダウングレード
• クライアントがディレクトリを表示したときにファイルを注入
• すべてのファイルを同じ名前のLNKに置き換え、クリック時に指定されたコマンドを実行
• 実行可能ファイルのみを同じ名前のLNKに置き換え、クリック時に指定されたコマンドを実行
• 拡張子Xのファイルを、ローカルで指定されたディレクトリ内の同じ拡張子Xのファイルの内容で置き換え
• 大文字小文字を区別しない名前Xのファイルを、指定されたディレクトリ内の同名のファイルの内容で置き換え

注意：

詳細情報は後日公開予定 - 現在、このツールはSMBv1のみの接続をサポートしていませんが、99%のケースでは問題になりません。コードは見苦しいですが、魅力的な個性を持っています。