Los 10 mejores trucos para la escalada de privilegios en el mainframe

"¡Estos archivos son seguros, te necesitarían privilegios especiales y de operaciones para acceder a ellos!"

He escuchado esta afirmación de innumerables profesionales de la seguridad de mainframes que han dedicado su carrera a gestionar Gestores de Seguridad Externos (ESM) de mainframe, como el Resource Access Control Facility (RACF) de IBM o el Top Secret and Access Control Facility (ACF2) de Broadcom. Estos ESM son extremadamente efectivos para asignar permisos a cuentas específicas, de modo que solo los usuarios apropiados puedan acceder a cada conjunto de datos. Esto da a los profesionales de la seguridad de mainframe la tranquilidad de que sus datos están protegidos y protegidos. Desafortunadamente, esta sensación de seguridad están falsa: ignora el hecho de que los hackers de mainframe han descubierto varias formas extremadamente efectivas de escalar privilegios. Esto significa que pueden Comienza con un usuario normal y restringido y actualizar a una cuenta privilegiada con permisos especiales y de operaciones sin que el gestor de seguridad del mainframe se entere nunca. Una vez que tienen esos permisos privilegiados, tienen control total sobre el mainframe y los datos altamente sensibles que toca.

"No me preocupa la escalada de privilegios porque ya te necesitaría acceso a una cuenta de mainframe y los mainframes son inhackeables!"

Este es otro sentimiento común en la comunidad de mainframes que ignora el riesgo muy real para sus sistemas. He ayudado a equipos a identificar su superficie de ataque en mainframe que los hackers explorarán y las seis principales formas en que los testers de penetración de mainframe han tenido éxito para obtener una primera posición en el^{mainframe 1}. Peor aún, estos ataques no incluyen el problema cada vez más común de las amenazas internas, que hasta el 59 por ciento de las organizaciones han experimentado en los últimos^{12 meses 2}. Las amenazas internas ya tienen credenciales y permisos válidos en el mainframe y son a un ataque de escalada de privilegios de tener el poder de exfiltrar datos sensibles, instalar ransomware o afectar significativamente la capacidad operativa del mainframe. Si te tienes un mainframe en tu infraestructura informática, entonces te son ya es consciente de las devastadoras implicaciones empresariales de un ataque como este.

Entonces, ¿cómo son capaces los atacantes de saltarse las restricciones impuestas por los programadores del sistema? A continuación son las 10 principales formas en que una configuración sencilla puede usarse para proporcionar a un usuario restringido control total sobre el mainframe:

1. El acceso a cualquier biblioteca autorizada de la Authorized Program Facility (APF) puede aprovecharse para obtén privilegios especiales y de operaciones. RACF almacena los permisos de tus credenciales en la memoria, que será consultada en cualquier momento te intentes acceder a un recurso. A través de una biblioteca autorizada por APF, te puede utiliza una herramienta hacker de código abierto llamada elv.apf³ para modificar automáticamente la sección de memoria y cambiar tus permisos a lo que te desees.
2. Si te tienes una cuenta de usuario que no tiene acceso a una biblioteca autorizada por APF, quizá te puedas intentar Crea una. Comprueba Ve si tu cuenta tiene el BPX. FILEATTR. Configuración APF. Si te tiene, te puedes utiliza el comando extattr +a para cambiar cualquier cosa a una biblioteca autorizada por APF y utiliza paso 1 para permisos especiales y de operaciones.
3. Si no te acceder o Crea directamente a una biblioteca autorizada por APF, intenta utiliza un ataque de camino de concatenación de datos para llegar a un conjunto de datos previamente denegado. Gracias a los permisos anidados, si te tienes acceso de mayor nivel a un conjunto de datos y están una biblioteca autorizada por APF debajo, entonces te puede engañar a RACF para que piense te tiene los permisos adecuados y puede utiliza de forma similar a los métodos anteriores.
4. Similar al ataque de la ruta de concatenación de datos, si tu cuenta tiene permisos DASDVOL, tú puedes copiar y mover una biblioteca autorizada APF a una ruta que están ejecutable para tu cuenta, lo que te permite ejecutar el primer paso para escalar privilegios.
5. Si tu cuenta no tiene la opción anterior, comprueba Ve si te tienes acceso a una cuenta que sí la tenga. IBM^® z/OS^® usa regularmente privilegios sustitutos para que una cuenta pueda enviar un trabajo o script como otra cuenta. Si te tienes privilegios sustitutos para una cuenta que puede realizar cualquiera de los pasos anteriores, entonces te puedes utiliza esa cuenta sustituta para darte permisos especiales y de operaciones.
6. Otro permiso a menudo olvidado están BPX. SUPERUSER, que permite que la cuenta tenga privilegios de superusuario, o root, en USS que luego pueden aprovecharse para acceder o modificar cualquier archivo, incluidas las bibliotecas autorizadas por APF.
7. Otra forma extremadamente común para que los probadores de penetración obtén permisos especiales y de operaciones en una máquina de producción están a través del servicio Network Job Entry (NJE). Los pentesters suelen explotar primero una máquina de desarrollo, donde son mucho menos probabilidades de proteger los permisos anteriores. Una vez que tienen la base inicial en un mainframe que están un nodo confiable, utilizan NJE para enviar un trabajo a cada máquina de producción simultáneamente. Esto puede Crea una cuenta privilegiada única en cada partición lógica o enviar automáticamente trabajos y scripts privilegiados. Aún más aterrador, la contraseña NJE están almacenada en JES2PARMLIB y puede ser falsificada para un ataque de intermediario que simule un nodo confiable.
8. Una de las formas más sencillas de escalar privilegios están Obtén una contraseña para una cuenta privilegiada. La higiene de seguridad ha mejorado enormemente en las dos últimas décadas, pero los mainframes de producción suelen estar configurados y sin tocar para evitar posibles problemas que puedan causar costosos tiempos de inactividad. Los pentesters profesionales comentan regularmente que son capaces de hacer búsquedas rápidas de conjuntos de datos de contraseñas y archivos en z/OS o z/Linux para encontrar una lista de credenciales que pueden utilizar para escalar privilegios. Estos archivos a menudo son olvidados hasta que un hacker los descubre y los utiliza con fines maliciosos.
9. El RACF PassTicket están una contraseña de un solo uso que están generada por un producto o función solicitante. ⁴ Si tu cuenta tiene acceso a esta función, te puede generar una contraseña de un solo uso para una cuenta privilegiada e iniciar sesión directamente con sus credenciales para tener el control total del mainframe.
10. Todo lo anterior gira en torno a permisos y configuraciones erróneas que son extremadamente comunes, a pesar de los esfuerzos de programadores de sistemas altamente competentes, porque el entorno dinámico y la enorme cantidad de cuentas de usuario son casi imposibles de gestionar perfectamente. Sin embargo, incluso si ti tienes una postura de seguridad perfecta donde ninguna de las anteriores funciona, te puedes seguir siendo vulnerable a un exploit de software 0Day. Son muy pocos investigadores de seguridad que busquen exploits de software para el mainframe, lo que hace que muchos programadores de sistemas crean que son seguros. Desafortunadamente, es mucho más probable que esto los deje más vulnerables. El cofundador de Pirate Boy, Gottfrid Svartholm, desarrolló varios ataques 0Day mientras atacaba al Banco Sueco Nordea para Crea más de 20 IDs de usuario especiales de RACF. ⁵ te también cuentan con empresas como Key Resources Inc., que cuentan con una solución de Programa de Análisis de Vulnerabilidades (VAP) que escanea software en busca de posibles violaciones de memoria y permisos y a menudo encuentra decenas de posibles vulnerabilidades en los productos de software más comunes del^{mercado 6}. Una búsqueda rápida en Google de IBM^® Guardium^® en la base de datos Common Vulnerability and Exposures devolverá más de 40 vulnerabilidades solo en esa solución. ⁷

Cuando te abordas los desafíos significativos para defenderte eficazmente de ataques de escalada de privilegios, queda claro que los profesionales de la seguridad en mainframes necesitan ayuda para identificar inmediatamente a los usuarios que son capaces de encontrar la manera de escalar sus privilegios. La solución de detección y respuesta de endpoints de BMC AMI Security hace un seguimiento de los permisos de todos los usuarios y notificará inmediatamente al Centro de Operaciones de Seguridad y a los administradores del mainframe, en tiempo real, cuando las credenciales de un usuario son modificadas y sons puedan acceder a conjuntos de datos previamente denegados. Esto permite al equipo de seguridad responder y remediar de inmediato antes de que una posible brecha o ransomware devaste los valiosos datos en el mainframe. Si te desea saber más sobre esta solución de software, por favor contacte con Christopher_perry@bmc.com o visite BMC Software para más información.

¹ https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/ ↩

² https://www.helpnetsecurity.com/2019/04/05/detect-insider-threats/ ↩

³ https://github.com/ayoul3/privesc ↩

⁴ https://www.ibm.com/support/knowledgecenter/en/SSLTBW_2.3.0/com.ibm.zos.v2r3.icha700/pass.htm ↩

⁵ https://www.share.org/blog/the-mainframe-security-threat,-inside-and-out ↩

⁶ https://www.cvedetails.com/vulnerability-list/vendor_id-14/product_id-32588/IBM-Security-Guardium.html ↩

Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.