Ciberseguridad
Advent of Cyber día 10
Prácticas / TryHackMe
Aquí las macros forman parte del escenario de phishing. Conviene separar lo que el archivo intenta hacer de los controles que permita la versión de Office del entorno. El adjunto no salta todas las barreras por existir. (￢_￢;)
Contexto histórico: recorrido de Advent of Cyber 2024. Las capturas y respuestas corresponden al ejercicio original.
Objetivos:
- Entender el Phishing
- Como los macros se pueden usar y abusar
- Cómo ejecutar un ataque de phishing usando macros
Herramientas:
- Metasploit
Phishing
A grandes rasgos es una técnica de "fishing" o "pescar", donde le enviamos la carnada a un usuario o grupo de usuarios con el propósito de robar información personal o instalar malwares, usualmente convenciendo de que lo que estamos haciendo es real. Más información en este apartado.
Macros
Una macro en computación se refiere a un set de instrucciones programadas diseñadas para automatizar tareas repetitivas. La suite office de microsoft, soporta macros en documentos para agilizar tareas. Sin embargo, son fáciles de utilizar maliciosamente sin cuidado.
Plan de ataque
En el escenario, si la política de Office permite ejecutar la macro y el recorrido de red lo permite, puede iniciarse el payload. Abrir un adjunto no garantiza esa ejecución: Office bloquea macros de archivos de Internet en los escenarios documentados por Microsoft. En el día 9 ejecutamos un reverse shell, esto nos podría servir en este caso.
- Crear un archivo con una macro maliciosa
- Comenzar la escucha, esperando conexiones
- Enviar el email con el documento y esperar...
- El escenario requiere que la macro llegue a ejecutarse; no basta abrir cualquier documento
- Si el payload y la conexión funcionan, se obtiene el acceso que permitan el proceso y sus permisos La razón por la que es más sencillo que la máquina se conecte a nosotros es por la de los funcionamientos de firewall y redes privadas :)
Microsoft, bloqueo de macros de Internet. Una conexión saliente tampoco atraviesa cualquier firewall por definición.
+----------------------------------------+
| Floure & |
| Tachibana's guild |
| [Hikari · Nozomi] |
| SEAL: sha256/12: 61f9b379d4ec |
| STATUS: LITURGY_IN_PROGRESS |
+----------------------------------------+