La nueva función de Microsoft Azure Active Directory Cross-Tenant Synchronization (CTS), introducida en junio de 2023, ha creado una nueva superficie de ataque potencial que podría permitir a los actores de amenazas propagarse lateralmente con mayor facilidad a otros inquilinos de Azure.
Los inquilinos de Microsoft son organizaciones o suborganizaciones cliente en Azure Active Directory que están configuradas con sus propias políticas, usuarios y ajustes.
Sin embargo, dado que las organizaciones grandes pueden dividirse en varios inquilinos con fines organizativos, a veces puede ser más fácil permitir que los usuarios sincronicen entre inquilinos autorizados controlados por la misma entidad.
En junio, Microsoft introdujo una nueva característica de Sincronización entre Tenants (CTS) que permite a un administrador sincronizar usuarios y grupos a través de múltiples tenants y recursos tenant, ofreciendo una colaboración fluida, automatizando la gestión del ciclo de vida de proyectos B2B, etc.
Al configurar CTS, un tenant Azure "origen" se sincronizará con un tenant "destino", donde los usuarios del origen se pueden sincronizar automáticamente con el tenant destino. Al sincronizar usuarios, el usuario sólo se transfiere desde el origen y no se extrae del destino, por lo que se trata de una sincronización unilateral.
Sin embargo, si se configura incorrectamente, los atacantes que ya han comprometido un inquilino y obtenido privilegios elevados pueden explotar la nueva característica para moverse lateralmente a otros inquilinos conectados y luego desplegar configuraciones CTS falsas para establecer la persistencia en esas redes.
Esta superficie de ataque fue descrita anteriormente por Invictus, cuyo informe se centra principalmente en la detección de actores de amenazas que abusan de esta función.
Brechas de configuración de CTS
En un informe publicado ayer, la empresa de ciberseguridad Vectra explica cómo los actores de amenazas pueden abusar de esta característica para propagarse lateralmente a los inquilinos vinculados o incluso utilizar esta característica para la persistencia.
Sin embargo, también advierten de que para abusar de esta función es necesario que un actor de amenazas primero comprometa una cuenta privilegiada o gane una escalada de privilegios en un entorno de nube de Microsoft violado.
"No hemos observado el uso de esta técnica en la naturaleza, pero dado el abuso histórico de una funcionalidad similar, presentamos los detalles para que los defensores entiendan cómo se presentaría el ataque y cómo vigilar su ejecución", explican desde Vectra en su informe.
La primera técnica descrita en el informe de Vectra consiste en revisar las configuraciones de CTS para identificar a los inquilinos objetivo conectados a través de estas políticas y, en concreto, buscar inquilinos con 'Outbound Sync' activado, que permite la sincronización con otros inquilinos.
Al encontrar un inquilino que cumpla esos criterios, el atacante localiza la aplicación utilizada para la sincronización CTS y modifica su configuración para añadir al usuario comprometido en su ámbito de sincronización, obteniendo acceso a la red del otro inquilino. Esto permite al actor de la amenaza lograr un movimiento lateral sin necesidad de nuevas credenciales de usuario.
La segunda técnica presentada por Vectra consiste en desplegar una configuración CTS falsa para mantener el acceso persistente a los inquilinos objetivo. Una vez más, hay que señalar que este método requiere que un actor de amenazas ya haya comprometido una cuenta privilegiada en el inquilino.
Específicamente, el atacante despliega una nueva política CTS y habilita "Sincronización entrante" y "Consentimiento automático de usuario", lo que le permite enviar nuevos usuarios desde su inquilino externo al objetivo en cualquier momento.
Esta configuración garantiza al atacante el acceso al inquilino de destino en cualquier momento a través de la cuenta externa.
Incluso si se eliminan las cuentas fraudulentas, el atacante puede crear e "introducir" nuevos usuarios a voluntad, obteniendo acceso inmediato a los recursos del inquilino de destino, de ahí que Vectra llame a esto una "puerta trasera".
Defenderse de estos ataques
Si bien ningún ataque conocido ha abusado de esta función, Vectra ha ofrecido orientación sobre cómo fortalecer su configuración para evitar que se abuse de la función.
Vectra propone que los inquilinos objetivo de CTS deben evitar implementar una configuración de CTA entrante predeterminada o demasiado inclusiva y, si es posible, establecer límites sobre qué usuarios y grupos pueden acceder a sus entornos de nube.
Los inquilinos de origen de CTS que actúan como puntos de infracción iniciales deben monitorear a todos los usuarios privilegiados en busca de actividad sospechosa.
El informe de Invictus proporciona información detallada sobre cómo se registra la actividad de CTS, lo que permite a los administradores detectar comportamientos maliciosos.
Fuente: bleepingcomputer