- ребят, там Standoff начинается, мы участвуем?
- у нас нет времени на мобильные шутеры
- Да вы не поняли...На платформе Standoff 365, разработанной Positive Technologies, открылся онлайн-киберполигон, где исследователи безопасности смогут исследовать копии IT-систем реальных компаний из различных отраслей экономики, искать уязвимости и пути реализации критических событий нон-стоп 24/7/365. Standoff 365 ― онлайн-версия киберучений Standoff, которые проводятся с 2016 года в формате многодневных оффлайн-мероприятий.
20 марта 2024 года организаторы Standoff предоставили участникам отборочного этапа доступ к новому инфраструктурному сегменту - HighTechEnergy.
На саму Отборку дали три недели: с 20 марта по 10 апреля.
Кто мы такие
TaipanByte (ранее известные, как RVG-CHRT) - команда, которая образовалась в стенах учебного заведения, решила продолжить развитие. Одним из первых участий в глобальных мероприятиях стал Standoff11 в мае 2023.
На котором мы заняли 19 место
Состав команды выглядит примерно вот так:
Еще больше статей на тему Standoff, Codeby, Hackthebox и др. на нашем сайте www.taipanbyte.ru, там еженедельно мы делимся своим опытом с вами, развивайтесь с TaipanByte:
Как проходила регистрация
Решение участвовать в отборке было принято за неделю до ее начала, в нашем стиле: спонтанно, срочно, завтра-собираемся-в-дискорде-в-8-по-Мск. Команду очень замотивировало слово “бесплатно”.
Ведь в этом году все красные команды, которые реализуют хотя бы одно критическое событие в ходе отборочных соревнований, получат билеты на закрытую часть международного киберфестиваля PHDays в «Лужниках».
Немного почитав про отборку, мы сразу пошли подавать заявку. Тем более если команда попадет в финал, то у нее появится шанс залутать более ценные призы.
Заполнение заявки
Начнем с формирования команды:
Определите состав команды и ее капитана. Важно, чтобы у каждого участника был личный аккаунт на платформе Standoff 365. Если его еще нет — попросите участника самостоятельно зарегистрироваться по ссылке. Особых требований к участникам нет, но нужно иметь опыт на киберполигоне.
При подаче заявки старайтесь указывать весь ваш опыт и сильные стороны, ведь это увеличивает шансы на ее одобрение.
Если вы все сделали правильно, через какое-то время заявку одобрят.
Организация
Для более удобной коммуникации привели в порядок свой Discord-сервер, сделав его комфортной площадкой для сообщества.
Discord стал незаменимым местом, где практически ежедневно собиралась вся команда, а по вечерам чат в telegram просто разрывался от сообщений. Кстати, будьте готовы к сильной конкуренции: засыпаешь - на 5-ом месте, а просыпаешься - на 15-ом.
Про Обсидиан
Obsidian.md - отличное приложение для структурирования данных, полученных при тестировании инфраструктуры.
Обсидиан, помимо обычных заметок, поддерживает графы и схемы, упрощающие работу с информацией.
Старайтесь собирать и структурировать АБСОЛЮТНО ВСЕ. Никогда не знаешь, что может пригодиться!
Так выглядит наш граф:
Также в обсидиане можно создать что-то вроде “доски детектива” с пошаговым решением полигона. Очень помогает не запутаться в инфраструктуре.
А еще обсидиан может быть удобен с точки зрения организации команды: для каждого участника можно определить его зону ответственности, выделить свой линк (заметку), в которую он будет заносить информацию.
Для более эффективного решения полигона, мы рекомендуем определить следующие роли:
-
2-4 участника, которые шарят за AD, Kerberos, повышение привилегий в windows, домене и т.п.
-
1-2 участника, которые шарят за Linux и могут оперативно раскрутить RCE.
-
Участник, который заносит все данные в БД, отвечает за визуализацию и верификацию собранных данных. Имеет представление о том, как выглядит инфраструктура в целом.
-
Участник, который сидит 24/7 в чатах площадки и мониторит обновления информации, общается с организаторами, договаривается с другими командами (как оказалось, для этого действительно нужен отдельный человек).
Инфраструктура
Арендовали на команду два VDSа, чтобы организовать туннели и настроить VPN. Прокинули в него всю инфрастукруту, которая нужна для работы на Полигоне.
В основном мы использовали:
- C2 фреймворк - для постэкплуатации
С2-фреймворки значительно облегчают работу на полигоне: сохраняют все пойманные шеллы, помогают при повышение привилегий, упрощают перемещение по инфраструктуре, и даже будут полезны при создании и реализации эксплойтов. Некоторые C2-фреймворки есть на гитхабе.
- BloodHound - для визуализации сети
BloodHound поможет вам выявить связи и получить общее представление о структуре Active Directory: определить компьютеры, на которых пользователи обладают правами администратора на любом компьютере в Active Directory. Кроме того, он предоставит возможность просмотра информации о групповых политиках и покажет в какой группе пользователей состоит конкретная учетная запись.
Более подробно о том, как мы ломали киберполигон, мы рассказываем тут
HighTechEnegry
Для отборочного этапа организаторы предоставили доступ к закрытому инфраструктурному сегменту HighTechEnegry, который, как поговаривают, скоро будет доступен всем желающим.
Скоуп внешнего периметра был ограничен 26 маской и состоял из 62 IP-адресов. Каждому участнику команды было выдано по VPN конфигу для доступа к внешке.
На вебе можно обнаружить обычные уязвимости, почты HR-ов и конфиг во внутреннюю инфраструктуру.
Фишинг
На Standoff основной вектор проникновения во внутрянку - фишинг.
На старте отборки, правда, боты отказывались открывать вордовские документы, поэтому пришлось прибегнуть к альтернативному методу (он нем мы рассказываем тут.
Также из-за того, что некоторые команды поднимали свои SMTP сервера, фишинг периодически отлетал в стратосферу. Организаторы даже разослали письма с просьбой так не делать.
Что касается доступа во внутреннюю сеть, на лендинге HighTechEnergy можно обнаружить VPN конфиг и три почты HRов для реализации фишинга.
Так после реализации фишинга вы попадаете на один из компьютеров HR-а, откуда появляется возможность распространения в другие офисы компании.
Лайфхаки
Теперь поделимся некоторыми лайфхаками, которые мы подметили в ходе участия в отборке.
- Можно подсматривать за другими командами, они оставляют за собой много интересного.
Мы находили полезные эксплойты, а также подглядывали за сессиями других юзеров. Так одна из команд сдампила пароли с помощью mimikatz, а мы, всё это время, сидя на VNC, видели эти пароли и благополучно записывали их в себе обсидиан.
-
Не пренебрегайте BloodHound
-
Желательно найти общий язык с другими командами и с их капитанами, потому что в ходе и отборки, и чемпионата может встречаться проявление неспортивного поведения
Будьте готовы к тому, что:
Другие участники могут кикать вас с захваченного компьютера;
Другие участники могут не пускать вас на RDP (даже если вы чудом на него попадете, то вас обязательно с него кикнут);
Другие участники могут менять пароли к учеткам пользователей;
Другие участники ни за что не пустят вас на СКАДУ;
Другие участники могут начать воевать против вас и ломать не только полигон, но и ваши тачки. Такое уже случалось жаль Ивашку;
Другие участники могут перезапускать и оффать все что движется, а что не движется двигать и тоже оффать;
Другие участники могут ронять сервера как специально, так и непреднамеренно;
Другие участники могут убивать ваши шеллы;
Другие участники могут атаковать ваши прослушиватели, убивая все ваши шеллы сразу;
- Добавляйте ваши шеллы с бэкконнектами в автозапуск, это поможет вам выжить при перезагрузке захваченной тачки
Если кто-то начнет яростно оффать ваши бэкконекты и пытаться кикнуть вас из инфры, вам будет не так больно это пережить.
- Мы случайно заметили, что если назвать шелл “flag.exe”, то в C2 будет каждые пару часов прилетать бекконнект, запущенный пользователем, нажавшим на ваш исполняемый файл, видимо в надежде получить флаг
(извините ребят, это были не флаги)
Немного о нововведениях
Хочется отдельно рассказать об огромном количестве изменений, которые ждут участников кибербитвы в мае. Государства теперь целых два, а для того, чтобы разобраться в новых механиках потребовался двухчасовой стрим.
Если вы тоже не понимаете, что тут происходит, сейчас попробуем разобраться
Если про новое государство примерно понятно (невероятно большая инфраструктура стала еще больше), то вот с остальным не все так однозначно.
Новая механика: Группировки
Теперь все команды будут распределены по государствам, чтобы сформировать две противоборствующие группировки (кланы). Выигрывает та группировка, которая выполнит больше всего недопустимых событий уровня государства.
Распределение команд по государствам следующее:
Первые две команды в каждом из государств - топовые хакерские команды, призеры Standoff прошлого года (1-4 места)
Далее идут команды, занявшие 5-11 места
Оставшиеся команды “новичков” определят по результатам отборочного этапа. Организаторы поделились что команд по итогу отбора может быть до 19 штук. Детали объявят 15 апреля
Возможно вас смутили две команды с пометкой “за деньги”. Сейчас объясню.
По словам организаторов, это оставленные слоты для коммерческих участников - платная услуга, которую хотели апробировать в этом году, но которая применена пока не будет. На отбор других участников это не влияет, как и на конкуренцию внутри битвы. Это лишь отдельная услуга по менторингу, которая будет включать доступ к битве.
Новая механика: Этапы
Сам процесс проведения кибербитвы тоже изменили.
Первые 3 дня команды будут противостоять друг другу, объединившись в кланы, определяя какое государство победит. При этом для победы государства нужно выполнять специальные недопустимые события “уровня государства”, которые не идут в персональные зачет.
В последний день пройдет “Плей-офф” (финал внутри финала), в него попадают топ 4 команды победившего государства.
Вот тут начинается самое интересное, ведь топ определяется по персональному зачету, а не по количеству реализованных “государственных” событий.
Давайте разбираться
Новая механика: Скоринг
Получается, чтобы попасть в “Плей-офф”, нужно реализовывать обычные недопустимые события. Но ведь эти события ни как не помогают государству, а значит даже если твоя команда самая крутая в клане, при поражении государства, в “Плей-офф” вы не попадаете.
Тогда наверное нужно реализовывать только “государственные” недопустимые? Тоже нет, потому что при победе вашего государства, в “Плей-офф” попадут только лучшие 4 команды.
Тяжело? Это мы только начали
Давайте наконец разберем, чем же отличаются обычные события от “государственных”
Например: когда команда реализует обычное событие, она получает баллы в персональный зачет. Эти баллы влияют на положение команды в таблице лидеров клана (так же, как на предыдущих кибербитвах, с разницей лишь в том, что таблицы теперь две)
Например: команда Государства S реализует событие уровня государства Государства F, получает за это 1 балл в зачет своего государства. Если еще одна команда реализует это же событие, то в зачет государства добавляется еще 1 балл
Считается это все так:
Наибольшее количество баллов = количество команд Государства F × количество событий уровня государства Государства S (и наоборот)
Получается, что нужно не только следить за своим местом в таблице лидеров клана, но и не допустить поражения своего государства.
По мнению организаторов эти изменения улучшат опыт участия в standoff и увеличат конкурентные возможности
Остается лишь пара вопросов. Например, что делать если одна из команд по какой-либо причине не захочет/не сможет участвовать? Это ведь автоматически приведет к поражению государства из-за новой системы подсчета очков. Будут ли пересчитываться баллы в таком случае? И как бороться с сговором отдельных команд и возможном саботаже. Что если кто-то будет специально тянуть клан вниз, в пользу другого государства?
Будем надеяться организаторы обратят внимание на эти вопросы и учтут это до старта кибербитвы.
Итоги отборочного этапа
Так что в итоге?
У нас получилось реализовать 5 критических событий:
Случайно зацепили 2 уязвимости на внешке:
На момент написания статьи находимся на 21 месте.
Хоть мы и не прошли в Финал (скорее всего, инфы пока нет), но постарались на славу и получили огромное удовольствие от участия, хоть и были спорные моменты. Цель на следующий год - войти в топ-10 отборки, силы на это есть, осталось улучшить подготовку.
Выражаем огромную благодарность Positive Technologes за возможность поучаствовать в отборочном этапе Standoff, в ходе которого мы получили бесценный опыт. Мы уверены, что навыки, приобретенные на полигоне, будут полезны и применимы в будущем.
Ну, а на бесплатные билеты мы нафармили, поэтому трехкратное УРА. Ищите нас в Лужниках с 22–25 мая!
Больше статей у нас в телеграме: