Hackers podrían aprovechar Google Workspace y la Plataforma Cloud para ataques de ransomware
Un conjunto de métodos de ataque novedosos ha sido demostrado contra Google Workspace y la Plataforma Cloud de Google, que podrían ser potencialmente aprovechados por actores de amenazas para llevar a cabo ataques de ransomware, exfiltración de datos y recuperación de contraseñas.
"Partiendo de una única máquina comprometida, los actores de amenazas podrían progresar de varias maneras: podrían moverse a otras máquinas clonadas con GCPW instalado, obtener acceso a la plataforma en la nube con permisos personalizados o descifrar contraseñas almacenadas localmente para continuar su ataque más allá del ecosistema de Google", dijo Martin Zugec, director de soluciones técnicas en Bitdefender, en un nuevo informe.
Un requisito previo para estos ataques es que el actor malintencionado ya haya obtenido acceso a una máquina local a través de otros medios, lo que llevó a Google a marcar el error como "no elegible para su corrección" ya que está "fuera de nuestro modelo de amenaza y el comportamiento está en línea con las prácticas de Chrome de almacenar datos locales".
Sin embargo, la empresa de ciberseguridad rumana ha advertido que los actores de amenazas pueden aprovechar tales lagunas para extender una única compromisión de punto final a una violación de toda la red.
En resumen, los ataques se basan en el uso del Proveedor de Credenciales de Google para Windows (GCPW) de una organización, que ofrece capacidades tanto de gestión de dispositivos móviles (MDM) como de inicio de sesión único (SSO).
Esto permite a los administradores gestionar y controlar de forma remota los dispositivos Windows dentro de sus entornos de Google Workspace, así como permite a los usuarios acceder a sus dispositivos Windows utilizando las mismas credenciales que se utilizan para iniciar sesión en sus cuentas de Google.
GCPW está diseñado para utilizar una cuenta de servicio local privilegiada llamada Administración de Cuentas e ID de Google (GAIA) para facilitar el proceso en segundo plano al conectarse a las API de Google para verificar las credenciales de un usuario durante el paso de inicio de sesión y almacenar un token de actualización para evitar la necesidad de reautenticación.
Con esta configuración, un atacante con acceso a una máquina comprometida puede extraer los tokens de actualización de OAuth de una cuenta, ya sea del registro de Windows o del directorio de perfil de Chrome del usuario, y eludir las protecciones de autenticación multifactor (MFA).
Posteriormente, el token de actualización se utiliza para construir una solicitud POST HTTP al punto final "https://www[.]googleapis[.]com/oauth2/v4/token" para obtener un token de acceso, que a su vez puede ser abusado para recuperar, manipular o eliminar datos sensibles asociados con la cuenta de Google.
Un segundo exploit se refiere al movimiento lateral de la Imagen Dorada, que se centra en despliegues de máquinas virtuales (VM) y aprovecha el hecho de que la creación de una máquina clonando otra máquina con GCPW preinstalado también clona la contraseña asociada a la cuenta GAIA.
"Si conoces la contraseña de una cuenta local, y las cuentas locales en todas las máquinas comparten la misma contraseña, entonces conoces las contraseñas de todas las máquinas", explicó Zugec.
"Este desafío de contraseña compartida es similar a tener la misma contraseña de administrador local en todas las máquinas que ha sido abordado por la Solución de Contraseña de Administrador Local de Microsoft (LAPS)."
El tercer ataque implica el acceso a credenciales en texto plano aprovechando el token de acceso adquirido mediante la técnica mencionada anteriormente para enviar una solicitud GET HTTP a un punto final de API no documentado y obtener la clave privada RSA necesaria para descifrar el campo de contraseña.
"Tener acceso a credenciales en texto plano, como nombres de usuario y contraseñas, representa una amenaza más grave", dijo Zugec. "Esto se debe a que permite a los atacantes suplantar directamente a usuarios legítimos y obtener acceso ilimitado a sus cuentas, lo que podría llevar a un apoderamiento completo de la cuenta."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario