PetitPotam, 2021’de duyurulan ve bir Windows makinesini isteği dışında kimlik doğrulamaya zorlamaya dayanan bir tekniktir. Yöntem, Windows’un şifreli dosya sistemi işlemleri için kullandığı MS-EFSRPC uzak yordam çağrısı arayüzünü hedef alır. Saldırgan bu arayüzdeki bir işlevi çağırarak kurban sunucuyu, kendi kontrolündeki bir adrese doğru kimlik doğrulama başlatmaya kandırır.

PetitPotam, bir Windows sunucusunu MS-EFSRPC arayüzü üzerinden saldırganın seçtiği hedefe kimlik doğrulamaya zorlayarak makine hesabının NTLM kimliğini ele geçirmeye açan bir zorlama tekniğidir.

Zorlama Neden İşe Yarar?

PetitPotam tek başına bir istismar değil, bir tetikleyicidir. Kurban sunucu zorlandığında makine hesabıyla kimlik doğrular ve bu doğrulama saldırganın dinlediği noktaya ulaşır. Buradaki kritik nokta, saldırının kimlik bilgisi kırmaya değil, mevcut ve geçerli bir kimliği yönlendirmeye dayanmasıdır. Elde edilen kimlik ardından bir NTLM relay saldırısı ile başka bir hizmete aktarılır; böylece saldırgan kurban sunucunun yetkileriyle bu hizmette işlem yapabilir.

Alan Denetleyicisine Giden Yol

PetitPotam’ı özellikle tehlikeli kılan senaryo, zorlanan kimliğin bir sertifika hizmetine relay edilmesidir. Saldırgan bir alan denetleyicisinin makine kimliğini bu hizmete aktararak onun adına bir kimlik sertifikası talep edebilir; bu sertifikayla alan denetleyicisi gibi davranmak, pratikte tüm dizinin ele geçirilmesi anlamına gelir. Bu zincir, sınırlı bir ağ konumundan yetki yükseltme için doğrudan bir yol sunduğundan hızla saldırı setlerinin parçası oldu.

Savunmanın Katmanları

PetitPotam tek bir yamayla tümüyle kapanmaz, çünkü sorun büyük ölçüde NTLM relay’in yapısal zayıflığından ve sertifika hizmetinin varsayılan yapılandırmasından beslenir. Active Directory güvenliği açısından etkili tedbirler aşağıdaki gibi katmanlıdır.

• Sertifika hizmetinde NTLM’in devre dışı bırakılması veya kanal bağlama zorunluluğu
• Sunucularda SMB imzalamanın zorunlu kılınarak relay’in kırılması
• EFSRPC ve ilişkili uzak yordam trafiğinin ağ katmanında sınırlandırılması
• Alan denetleyicileri ve sertifika hizmetleri için genişletilmiş koruma ayarları

Bu tedbirlerin birlikte uygulanması, kimliği zorlama başarılı olsa bile relay adımını işlevsiz bırakır. Tek bir önlem yerine zincirin birden fazla halkasını kesmek, tekniğin ortaya çıkarabileceği türev saldırılara karşı da dayanıklılık sağlar.

Bir ortamda PetitPotam benzeri zorlama trafiği veya beklenmedik makine hesabı kimlik doğrulamaları görüldüğünde, saldırganın sertifika ele geçirme adımına ulaşıp ulaşmadığının belirlenmesi gerekir. Bu değerlendirme için olay inceleme ve olay müdahalesi çalışması, dizin üzerindeki yetkilerin nerede ve nasıl kötüye kullanıldığını ortaya çıkarır.