Caça a Segredos no Azure: MicroBurst Secrets Hunter e Secrets Stalker

Um pesquisador da TrustedSec apresentou duas ferramentas para acelerar a caça a segredos em assinaturas do Azure e avaliar o acesso concedido pelos segredos descobertos. Ambas complementam a coleta de dados via MicroBurst (NetSPI), uma ferramenta para enumerar ativos do Azure usando uma conta autenticada. O acesso de Leitor ao nível da assinatura é geralmente recomendado para aproveitar ao máximo o MicroBurst.

Microburst Secrets Hunter — etapa pós-coleta. Opera totalmente offline sobre os dados coletados durante a enumeração do MicroBurst e não acessa a nuvem. Capacidades: • extrai segredos de Logic Apps, extensões de máquina virtual, contas de automação e logs de implantação de recursos do Azure; • pode ser executado como um script independente ou importado como um módulo para usar seu cmdlet; • oculta informações por padrão para fins de relatório (valores completos dos segredos podem ser exibidos usando um comando separado).

Secrets Stalker — avalia qual acesso um segredo de cliente comprometido concede, incluindo acesso ao Azure Resource Manager (ARM) ou Microsoft Graph. Diferente da enumeração ruidosa e demorada com AzureHound, esta é uma verificação direcionada. O que mostra: • se o segredo é válido e sua data de expiração; • permissões do Microsoft Graph; • possíveis caminhos de escalonamento de privilégios (por exemplo, acesso de escrita a objetos do diretório como usuários e grupos).

O autor destaca um caminho de ataque separado: se uma aplicação pode escrever em objetos do diretório (usuários e grupos), um grupo atribuído com permissões de proprietário pode potencialmente ser usado para assumir o controle da assinatura. A tomada de controle da assinatura é considerada mais valiosa do que privilégios de Administrador Global: as assinaturas podem ser menos monitoradas, tornando o escalonamento de privilégios mais provável de passar despercebido.

Artigo: https://trustedsec.com/blog/the-art-of-hunting-azure-cloud-secrets Ferramenta (Microburst Secrets Hunter): https://github.com/rootsecdev/MicroburstSecretsHunter Ferramenta (Secrets Stalker): https://github.com/rootsecdev/SecretsStalker