Attacco di Password Spraying

Tutorial sull'attacco: Come funziona un attacco di Password Spraying

PASSO 1: Eseguire il riconoscimento esterno

Prima di eseguire l'attacco di password spraying in sé, un avversario deve condurre un'attività di ricognizione per acquisire un elenco di nomi utente (o indirizzi email, se il bersaglio li utilizza come nomi utente) che probabilmente corrispondono a utenti attivi. Le strategie includono l'utilizzo di fonti di intelligence open-source (OSINT) (come ricerche Google, LinkedIn e Facebook) o l'acquisto di una directory aziendale. Potrebbero essere in grado di scoprire facilmente il formato del nome utente o potrebbero dover ingegnerizzare socialmente un dipendente per rivelarlo.

In questo esempio, l'avversario ha raccolto gli indirizzi email dei dipendenti da prendere di mira.

      PS> cat userlist.txt

Harry.Potter@stealthdefendlab.com

Hermione.Granger@stealthdefendlab.com

Ron.Weasley@stealthdefendlab.com

PS>
      

PASSAGGIO 2: Esegui un attacco di password spraying

Con l'elenco di nomi utente probabilmente validi, l'avversario può iniziare il loro attacco di password spraying. Gli avversari possono condurre questi attacchi lentamente per ridurre il rischio di rilevamento. Strumenti come il SprayingToolkit possono automatizzare il processo di esecuzione dell'attacco. In questo esempio, l'avversario tenta di autenticarsi alla posta elettronica ospitata su Office 365 utilizzando ciascuno degli indirizzi email combinati con una password debole (ma comune!)

      Python> atomizer.py owa stealthdefendlab.com 'Spring2020' userlist.txt

�[34m[*]�[0m Trying to find autodiscover URL

�[32m[+]�[0m Using OWA autodiscover URL: http://autodiscover.stealthdefendlab.com/autodiscover/autodiscover.xml

�[34m[*]�[0m OWA domain appears to be hosted on Office365

�[34m[*]�[0m Using Office 365 autodiscover URL: https://autodiscover-s.outlook.com/autodiscover/autodiscover.xml

�[31m[-]�[0m Authentication failed: Harry.Potter@stealthdefendlab.com:Spring2020 (Invalid credentials)

�[31m[-]�[0m Authentication failed: Hermione.Granger@stealthdefendlab.com:Spring2020 (Invalid credentials)

�[32m[+]�[0m Found credentials: Ron.Weasley@stealthdefendlab.com:Spring2020

�[32m[+]�[0m Dumped 1 valid accounts to owa_valid_accounts.txt
      

PASSAGGIO 3: Utilizzare gli account compromessi per raggiungere ulteriori obiettivi

L'avversario può utilizzare le credenziali compromesse per portare avanti i propri obiettivi. Ad esempio, può utilizzare un account email compromesso per condurre un phishing efficace, poiché non solo il mittente sarà un account utente reale, ma l'attaccante può studiare i messaggi nella casella di posta per creare un forte pretesto per le email di phishing.

Nell'esempio sottostante, l'avversario utilizza le credenziali compromesse per accedere a Microsoft Teams e chattare con un collega, che apre prontamente il file inviato — rilasciando malware sul computer del collega e permettendo all'avversario di passare da un compromesso nel cloud a un compromesso on-premises.

Rileva, Mitiga e Rispondi

Rileva

Difficoltà: Difficile

La rilevazione dello spraying di password è relativamente difficile: il grande numero di autenticazioni e servizi che devono essere monitorati comporta grandi set di dati che richiedono un'analisi complessa. Alcuni fornitori di servizi offrono il rilevamento e la prevenzione dello spraying di password nei propri controlli di sicurezza, ma è importante aggregare tutte le applicazioni e analizzare gli eventi di autenticazione per i segni e i sintomi dello spraying di password, come i tentativi di autenticazione falliti dalla stessa fonte contro più utenti.

Mitigare

Difficoltà: Media

È possibile mitigare gli attacchi di password spraying adottando pratiche di autenticazione adeguate (password robuste e autenticazione a più fattori) e assicurandosi che le proprie applicazioni offrano difese contro gli attacchi di forza bruta alle password. NIST Special Publication 800-63B fornisce indicazioni attuali per approcci di autenticazione forte e difese contro gli attacchi di forza bruta.

Rispondi

Difficoltà: Bassa

Quando viene rilevato un sospetto attacco di password spray, eseguire le seguenti azioni per bloccare ulteriori attività e rimediare a eventuali account compromessi:

• Attiva il processo di risposta agli incidenti e allerta il team di risposta agli incidenti.
• Bloccare la fonte dell'attacco di tipo password spray a livello di rete e/o applicazione per prevenire futuri tentativi di autenticazione. Se l'attacco di tipo password spray proviene da una macchina interna, allora dovrebbe essere messa in quarantena per indagini ed attività di eradicazione e recupero.
• Reimposta la password per qualsiasi utente la cui password è stata compromessa nell'attacco.