هکرها فناوری JEA مایکروسافت را برای نفوذ به سیستم‌های کامپیوتری می‌شکنند

با استفاده از JEA، می‌توان نقش‌ها و وظایف را برای مدیران پیکربندی کرد. پیکربندی نقش‌ها برای مدیران این مزیت را دارد که آن‌ها فقط دستوراتی را که برای انجام وظایف خود نیاز دارند، اجرا ‌می‌کنند و به دستورات دیگر دسترسی ندارند. اما اکنون مت ویکس، کارشناس امنیتی، راهی کشف کرده است که بر مبنای آن می‌توان از قابلیت‌های Powershell و JEA سوءاستفاده کرد و به این شکل سطح اختیارات و مجوزهای پروفایل یک کاربر معمولی را به سطح یک مدیر ارتقا داد. 
این کارشناس امنیتی تحلیل جالب توجهی در این زمینه ارائه کرده است و در آن توضیح می‌دهد که فناوری JEA آن‌گونه که باید و شاید قادر نیست در برابر حملات هکری ایستادگی کند؛ در نتیجه هکرها می‌توانند پروفایل خود را به سطح مدیر یک سیستم ارتقا دهند. او در پستی که در این زمینه منتشر کرده، گفته است: «حتی کارشناسانی که این سیستم‌عامل را طراحی کرده‌اند، در بعضی موارد و به‌ویژه زمانی که در حال بررسی دقیق‌تر کدها هستند، ممکن است در زمینه شناسایی مشکلات یا نارسایی‌های امنیتی دچار اشتباه شوند. من پروفایل‌های JEA را که مایکروسافت منتشر کرده است، بررسی و مشاهده کردم تمامی آن‌ها دچار مشکل هستند و به‌راحتی می‌توان برای به دست آوردن مجوزهای کامل مدیریتی آن‌ها را دور زد.

مطلب پیشنهادی

سیستم‌عامل امنیتی سفارشی

پس از 14 سال سیستم‌عامل کسپرسکی آماده عرضه شد!

این کار به صورت فوری، با ضریب کارایی بالا و بدون نیاز به انجام هیچ‌گونه پیکربندی خاصی می‌تواند انجام شود. حتی مدیران سیستم‌هایی که خود اقدام به ساخت پروفایل‌های سفارشی می‌کنند، در این زمینه کار بهتری انجام نداده‌اند و آسیب‌پذیر هستند.» ویکس روش‌های مختلفی را برای سوءاستفاده از فناوری JEA نشان داده است. در راهنمای حمله به JEAا(Helper people Attack) این کارشناس امنیتی توضیح می‌دهد که چگونه با استفاده از Add-Computer و دستورات مربوط به محیط Powershell می‌توان موانع دفاعی JEA را از میان برداشت و سطح مجوزها را ارتقا داد. افزایش سطح مجوزها به معنای دسترسی کامل و نامحدود به یک سیستم است. 
نکته جالب توجهی که در خصوص این گزارش وجود دارد، این است که این کارشناس امنیتی از هیچ‌گونه آسیب‌پذیری روز صفر در جهت بهره‌برداری از JEA استفاده نکرده است. او یک ماشین را به یک دامین اضافه/سوییچ کرده و در ادامه قواعد گروه را از طریق کنترل‌کننده دامنه (Domain Controller) که هکر آن را مدیریت می‌کند، استخراج کرده و در آخر پروفایل خود را با کنترل کامل روی سیستم مربوطه ارتقا داده است.
ویکس در این باره گفته است: «در این تکنیک حمله، کامپیوتر شما به دامنه اضافه می‌شود؛ در زمان بعدی تنظیمات مربوط به قواعد گروه (Group policy) را از سرور استخراج خواهد کرد و در ادامه، پیکربندی قواعد گروه را فعال خواهد کرد. این پیکربندی‌ها باعث اعمال پاره‌ای تغییرات در تنظیمات کامپیوتر می‌شوند که از آن جمله می‌توان به حذف دیوارآتش، اجرای هر دستور اسکریپتی در زمان راه‌اندازی اولیه سیستم، زمان‌بندی وظیفه (Task) و ورود به عنوان مدیر سیستم اشاره کرد. به طور خلاصه تمامی دیوارهای دفاعی و امنیتی از میان خواهند رفت و سطح دسترسی نامحدود و کاملی به سیستم فراهم می‌شود.» 
مت ویکس در بخشی دیگری از صحبت‌های خود یادآور شده است که مایکروسافت مخزن جامعی از پروفایل‌های JEA را مدیریت می‌کند. برای اطلاع کامل از مستندات JEA در گیت‌هاب، به این آدرس که در حقیقت مخزن پنهانی مایکروسافت است، مراجعه کنید. این مخزن شامل چهار نقش ساده است؛ دو نقش برای مدیریت سرورهای عمومی در سطح یک و دو و دو نقش مربوط به IIS هستند.
ویکس می‌گوید: «من از دستورات PowerShell به نام‌های import-module servermanager ،Install-WindowsFeature Web-Server ،Install-WindowsFeature Web-ASP وInstall-WindowsFeature Web-Asp-Net45 برای نصب IIS و ASP.Net استفاده کردم.» هکر می‌تواند دستور New-Service  را اجرا کرده و در ادامه هر فرمانی را با سطح دسترسی‌ سیستمی به مرحله اجرا در آورد. فرمان‌های ویژه محیط پاورشل همچون Get-WinEvent و Get-EventLog به هکر اجازه می‌دهند به رخدادهای ثبت‌شده مدیریتی دسترسی داشته باشد؛ در حالی که هیچ‌ ردپایی از او بر جای نماند.