Tấn công chuỗi cung ứng vật lý: giả nhân viên, cắm Raspberry Pi rồi chiếm quyền Domain Admin
"Professional red teamers gained physical access to a client office by posing as new IT staff and helping shovel snow, then placed a Raspberry Pi on an exposed network port to establish remote access. Over two weeks they used the foothold to enumerate Active Directory, password-spray weak credentials, and exploit misconfigured AD Certificate Services templates and a vulnerable certificate authority (ESC1, ESC4, ESC8) to obtain domain admin access; the article recommends stronger physical security, network access control, and MFA."
Tác động lớn do chuỗi tấn công kết hợp xâm nhập vật lý và khai thác AD/ADCS để đạt domain admin; điểm then chốt gồm password spraying thành công, ADCS ESC1/ESC4/ESC8 và cổng mạng không được kiểm soát.
Rủi ro vận hành cao vì có thể dẫn tới chiếm quyền quản trị miền và ảnh hưởng toàn bộ hạ tầng xác thực; đồng thời làm tăng chi phí khắc phục và gián đoạn. Điểm cần lưu ý: mất kiểm soát truy cập mạng, tài khoản bị lộ mật khẩu yếu, và thiếu MFA cho người dùng/nhóm đặc quyền.
Một nhóm red team đã mô phỏng tấn công thực tế bằng cách lợi dụng bảo mật vật lý tại văn phòng khách hàng. Trong mùa đông, họ đi vào khu vực bảo trì khi cửa đang mở, tự nhận là nhân viên IT mới nhưng không có thẻ, đồng thời tham gia hỗ trợ shovel tuyết để tạo thiện cảm và được phép tiếp cận các khu vực bên trong.
Sau đó, họ đặt một Raspberry Pi vào cổng mạng trong phòng họp—nơi không được áp dụng network access control—và che thiết bị để tránh bị phát hiện. Dù hệ thống giám sát đã ghi nhận bất thường, thiết bị vẫn tồn tại trên mạng trong khoảng 2 tuần.
Trong thời gian này, nhóm truy cập được Active Directory, xác định máy chủ điều khiển miền và thực hiện password spraying với mật khẩu “winter2023!”, ghi nhận hàng chục tài khoản bị trùng. Tiếp theo, họ khai thác các cấu hình sai của AD Certificate Services (ADCS), liên quan các lỗ hổng/điểm yếu ESC1, ESC4, ESC8, để đạt domain admin.
Khuyến nghị: siết chặt kiểm soát ra vào theo thẻ, áp dụng network segmentation/port control cho các khu vực nhạy cảm, tăng cường chính sách mật khẩu và triển khai MFA cho tài khoản đặc quyền.