Доверие к DHCP – ваша худшая ошибка: невинный протокол подставляет админов

Специалисты обнаружили изощренный метод повышения привилегий в доменных средах Windows. Эта уникальная техника взлома, получившая название DHCP Coerce, позволяет хакерам использовать законные права, чтобы получить полный контроль над корпоративными сетями.

Протокол DHCP автоматически назначает IP-адреса, чтобы упростить управление сетевыми подключениями. Однако функция одновременно открывает возможности для злонамеренных действий. Атакующие могут злоупотреблять полномочиями администраторов DHCP, вносить изменения в настройки протокола и запускать вредоносные скрипты.

После получения повышенных прав злоумышленники могут полностью захватить домен, манипулируя любыми данными по своему усмотрению. Тревожным фактом является то, что эту уязвимость можно эксплуатировать удаленно, без физического доступа к компьютеру.

Техника взлома DHCP Coerce основана на манипулировании опциями DHCP, позволяющими менять важные настройки. Например, опция Proxy autodiscovery может использоваться для компрометации клиентских учетных данных путем конфигурирования веб-прокси.

Ключевой момент атаки заключается в модификации опции DNS Server и перенаправлении DHCP DNS Dynamic Updates на адрес, который контролируется злоумышленником. Это принуждает сервер DHCP к аутентификации через Kerberos, данные которой могут быть затем перехвачены атакующим.

В случае, если скомпрометированный таким образом сервер DHCP установлен на домен-контроллере (что является распространенным сценарием для 57% изученных сетей), открывается прямой путь к полной компрометации всего домена.

Для защиты от уязвимости исследователи рекомендуют несколько контрмер. Во-первых, нужно тщательно проверять любые рискованные настройки DHCP в корпоративной сети. Во-вторых, следует использовать специальные средства для блокировки атак ретрансляции на службы Active Directory .

Также важно ограничить круг лиц в группе администраторов DHCP, выдавая им минимальные привилегии. Сегментация сети на изолированные части усилит общую защиту. А регулярный мониторинг работы DNS позволит своевременно обнаруживать аномалии.