Token impersonation, Windows’un her surece bir erisim belirteci (access token) atayan guvenlik modelini kotuye kullanan bir saldiri teknigidir. Bu belirtec, surecin hangi kullanici, gruplar ve ayricaliklarla calistigini tasir; saldirgan ele gecirdigi bir sistemde baska bir kullaniciya ait belirteci ele gecirdiginde, o kullanicinin kimligine burunerek islem yapabilir.

Token impersonation, saldirganin bellekteki bir erisim belirtecini kopyalayarak veya taklit ederek, sifre bilmeden baska bir kullanicinin yetkilerini ustlenmesidir.

Belirtecler Nasil Ele Gecirilir?

Bir Windows sunucusunda ayni anda birden cok kullanicinin oturumu ve hizmeti calisir; her biri kendi belirtecini bellekte tutar. Yerel yonetici yetkisine ulasan bir saldirgan, SeImpersonatePrivilege veya SeAssignPrimaryTokenPrivilege gibi ayricaliklardan yararlanarak baska bir surecin belirtecini kopyalar ve yeni bir surec olustururken ona atar. Ozellikle bir alan yoneticisi o makinede oturum acmis veya bir gorev calistirmissa, onun belirteci ele gecirildiginde saldirgan tum etki alanina uzanan bir kapi bulur.

Bu teknik cogunlukla bir saldiri zincirinin ortasinda yer alir: once dusuk yetkiyle sisteme girilir, ardindan bir Yetki yukseltme adimiyla yerel yonetici olunur, sonra da bellekteki ayricalikli belirtecler avlanir. Meterpreter’in incognito modulu ve benzeri araclar bu adimi otomatiklestirir.

Ilgili Tekniklerle Iliskisi

Kimlik bilgisi hasadi soz konusu oldugunda token impersonation nadiren yalniz calisir. Mimikatz gibi araclar bellekten hem belirtecleri hem de sifre ozetlerini cekerek saldirgana secenek sunar. Cekilen kimlik malzemesi bir Kerberos bileti ise, saldiri Bilet gecirme teknigiyle birleserek ag boyunca yanal harekete donusur.

Saldirganin bu adimlari denetim araclarindan gizlemek icin ek onlemler almasi da sik gorulur; belirtec manipulasyonu, bilinen sureclerin adi altinda calisarak Savunmadan kaçinma amacina hizmet edebilir.

Tespit ve Savunma

Savunma tarafinda ilk hedef, belirtec kopyalamayi mumkun kilan ayricaliklari kisitlamaktir; hizmet hesaplarina SeImpersonatePrivilege gibi haklarin gereksiz yere verilmemesi saldiri yuzeyini daraltir. Windows olay gunluklerinde, bir surecin farkli bir kullanici belirteciyle yeni surec olusturmasi (Event ID 4688 ve 4624 turu 9 oturumlar) anormal desenler icin izlenmelidir.

Bir kurumun bu tur belirtec manipulasyonuna gercekte ne kadar acik oldugunu olcmenin en dogru yolu, saldirgan bakis acisiyla yurutulen bir tatbikattir. Privia’nin red team hizmeti, gercek bir saldirgan gibi ilk erisimden alan yoneticiligine uzanan zinciri kurarak, belirtec calmanin hangi noktalarda mumkun oldugunu ve savunma ekibinin bunu goturup goturemedigini ortaya koyar.