Keyeroo: LDAP İmzalaması Olan Ağlarda NTLM Saldırısı

Windows Active Directory ortamlarında yeni bir saldırı tekniği ortaya çıktı. Keyeroo adlı yöntem, NTLM kimlik doğrulamasını LDAP'ye aktararak, kurbanın hesabı üzerinden işlem çalıştırmayı mümkün kılıyor. Korkutucu tarafı: domain controller LDAP imzalaması gerektirse bile ve sistem tamamen güncel olsa çalışıyor.

Teknisyen bir kullanıcıyı "coerce" ediyor (çeşitli yöntemlerle zorluyor) ve onun NTLM token'ını yakalıyor. Normalde bu token, SMB gibi protokollerde relay saldırılarına karşı korunuyor, ama LDAP'ye aktarıldığında farklı kurallar geçerli. Saldırgan, kurbanın kimliği üzerinden LDAP sorgularını yürütebiliyor, grup üyeliklerini değiştirebiliyor, ACL'leri manipüle edebiliyor.

Bu açık neden tehlikeli? Çünkü çoğu kuruluş LDAP imzalamasını "optional" bırakıyor (geçim nedeniyle eski sistemlerle). Keyeroo'da ise imzalama zorunlu olsa bile işe yarıyor. Saldırgan, kurbanın doğrudan bilgisayarında olmasına bile gerek yok, ağ üzerinden relay etmek yeterli.

Mitigasyon: LDAP imzalamasını "required" yapın, LDAP channel binding'i etkinleştirin, ve NTLM relay saldırılarına karşı genel savunmaları (EPA, MFA) güçlendirin. Microsoft'un resmi patchı beklenmeli. Şu an domain controller'lar bu saldırıya karşı tam koruma sunmuyor.