Top 10 Hacks zur Eskalation von Privilegien für den Mainframe

"Diese Dateien sind sicher, du bräuchtest Spezial- und Operationsrechte, um darauf zuzugreifen!"

Ich habe diese Aussage von unzähligen Mainframe-Sicherheitsexperten gehört, die ihre Karriere mit der Verwaltung von Mainframe External Security Managers (ESM) wie IBMs Resource Access Control Facility (RACF) oder Broadcoms Top Secret and Access Control Facility (ACF2) verbracht haben. Diese ESMs sind äußerst effektiv darin, bestimmten Konten Berechtigungen zuzuweisen, sodass nur geeignete Benutzer auf jeden Datensatz zugreifen können. Sie geben Mainframe-Sicherheitsexperten die Sicherheit, dass ihre Daten geschützt und sicher sind. Leider ist dieses Sicherheitsgefühl falsch: Es ignoriert die Tatsache, dass Mainframe-Hacker mehrere äußerst effektive Wege gefunden haben, Rechte zu eskalieren! Das bedeutet, sie können mit einem normalen, eingeschränkten Nutzer starten und auf ein privilegiertes Konto mit speziellen und Betriebsberechtigungen umsteigen, ohne dass der Mainframe-Sicherheitsmanager es erfährt. Sobald sie diese privilegierten Berechtigungen haben, haben sie die volle Kontrolle über den Mainframe und die hochsensiblen Daten, die es berührt.

"Ich mache mir keine Sorgen wegen der Eskalation von Privilegien, denn du bräuchtest ohnehin schon Zugriff auf ein Mainframe-Konto und Mainframes sind nicht hackbar!"

Dies ist ein weiteres verbreitetes Gefühl in der Mainframe-Community, die das sehr reale Risiko für ihre Systeme ignoriert. Ich habe Teams geholfen, ihre Mainframe-Angriffsfläche zu identifizieren, die Hacker erkunden werden, sowie die sechs wichtigsten Methoden, auf denen Mainframe-Penetrationstester Erfolg hatten, einen ersten Fuß auf dem Mainframe¹ zu gewinnen. Noch schlimmer ist, dass diese Angriffe das immer häufiger werdende Problem von Insider-Bedrohungen nicht beinhalten, das bis zu 59 Prozent der Organisationen in den letzten 12^Monaten erlebt haben. Insider-Bedrohungen haben bereits gültige Zugangsdaten und Berechtigungen auf dem Mainframe und sind nur noch einen Eskalationsangriff entfernt, um die Möglichkeit zu erhalten, sensible Daten zu exfiltrieren, Ransomware zu installieren oder die Betriebskapazität des Mainframes erheblich zu beeinträchtigen. Wenn Sie einen Mainframe in Ihrer IT-Infrastruktur haben, sind Sie sich der verheerenden geschäftlichen Auswirkungen eines solchen Angriffs bereits bewusst.

Wie können Angreifer also die von Systemprogrammierern eingeführten Beschränkungen umgehen? Im Folgenden sind die Top 10 Möglichkeiten aufgeführt, wie eine einfache Einstellung verwendet werden kann, um einem eingeschränkten Nutzer vollständige Kontrolle über den Großrechner zu geben:

1. Der Zugriff auf alle von Authorized Program Facility (APF) autorisierten Bibliotheken kann genutzt werden, um Spezial- und Betriebsrechte zu erhalten. RACF speichert die Berechtigungen Ihrer Zugangsdaten im Speicher, die bei jedem Versuch, auf eine Ressource zuzugreifen, referenziert werden. Über eine von APF autorisierte Bibliothek können Sie ein Open-Source-Hacker-Tool namens elv.apf³ verwenden, um den Speicherabschnitt automatisch zu ändern und Ihre Berechtigungen auf beliebige Wünsche zu ändern.
2. Wenn du ein Benutzerkonto hast, das keinen Zugriff auf eine APF-autorisierte Bibliothek hat, kannst du vielleicht versuchen, eine zu erstellen. Überprüfe, ob dein Konto die BPX hat. FILEATTR. APF-Einstellung. Wenn ja, kannst du den Befehl extattr +a verwenden, um alles in eine APF-autorisierte Bibliothek zu ändern, und Step 1 für spezielle und Betriebsrechte verwenden.
3. Wenn du nicht direkt auf eine APF-autorisierte Bibliothek zugreifen oder sie erstellen kannst, versuche, einen Datenverkettungspfad-Angriff zu nutzen, um einen zuvor abgelehnten Datensatz zu erreichen. Dank verschachtelter Berechtigungen kannst du, wenn du Zugang auf höheren Ebenen zu einem Datensatz hast und darunter eine APF-autorisierte Bibliothek liegt, RACF täuschen und glauben lassen, dass du die entsprechenden Berechtigungen hast und es ähnlich wie die oben genannten Methoden nutzen kannst.
4. Ähnlich wie beim Angriff auf den Datenverkettungspfad kannst du, wenn dein Konto DASDVOL-Berechtigungen hat, eine APF-autorisierte Bibliothek kopieren und in einen für dein Konto ausführbaren Pfad verschieben, was dir wiederum die Möglichkeit gibt, den ersten Schritt zur Eskalation der Rechte auszuführen.
5. Wenn dein Konto die oben genannte Möglichkeit nicht hat, dann prüfe, ob du Zugriff auf ein Konto hast, das es hat. IBM^® z/OS^® verwendet regelmäßig Surrogatrechte, damit ein Konto einen Job oder ein Skript als ein anderes Konto einreichen kann. Wenn du Surrogatrechte für ein Konto hast, das einen der oben genannten Schritte ausführen kann, kannst du dieses Surrogatkonto nutzen, um dir Spezial- und Betriebsrechte zu erteilen.
6. Eine weitere oft vergessene Berechtigung ist BPX. SUPERUSER, das dem Konto Superuser- oder Root-Rechte auf der USS ermöglicht, die dann genutzt werden können, um auf Dateien zuzugreifen oder diese zu ändern, einschließlich APF-autorisierter Bibliotheken.
7. Eine weitere äußerst verbreitete Möglichkeit für Penetrationstester, spezielle und Betriebsrechte auf einer Produktionsmaschine zu erhalten, ist der Network Job Entry (NJE)-Service. Pentester nutzen oft zunächst eine Entwicklungsmaschine aus, bei der die oben genannten Berechtigungen deutlich weniger wahrscheinlich geschützt sind. Sobald sie den ersten Fuß auf einem Mainframe, der ein vertrauenswürdiger Node ist, haben, nutzen sie NJE, um einen Job gleichzeitig an jede Produktionsmaschine zu senden. Dies kann ihnen auf jeder logischen Partition ein einzigartiges privilegiertes Konto erstellen oder automatisch privilegierte Jobs und Skripte einreichen. Noch beängstigender ist, dass das NJE-Passwort in JES2PARMLIB gespeichert wird und für einen Man-in-the-Middle-Angriff gefälscht werden kann, um einen vertrauenswürdigen Knoten zu simulieren.
8. Eine der einfachsten Möglichkeiten, Privilegien zu erhöhen, besteht darin, ein Passwort für ein privilegiertes Konto zu erhalten. Die Sicherheitshygiene hat sich in den letzten zwei Jahrzehnten enorm verbessert, aber Produktions-Großrechner werden meist eingerichtet und unberührt, um potenzielle Probleme zu vermeiden, die zu kostspieligen Ausfallzeiten führen könnten. Professionelle Pentester bemerken regelmäßig, dass sie schnelle Suchanfragen nach Passwortdatensätzen und Dateien auf z/OS oder z/Linux durchführen können, um eine Liste von Zugangsdaten zu finden, mit denen sie Privilegien eskalieren können. Diese Dateien werden oft vergessen, bis ein Hacker sie entdeckt und für finstere Zwecke nutzt.
9. Das RACF PassTicket ist ein einmaliges Passwort, das von einem anfordernden Produkt oder einer Funktion generiert wird. ⁴ Wenn Ihr Konto Zugriff auf diese Funktion hat, können Sie ein Einmalpasswort für ein privilegiertes Konto erstellen und sich direkt mit deren Zugangsdaten anmelden, um die volle Kontrolle über den Großrechner zu erhalten.
10. All das dreht sich um Berechtigungen und Fehlkonfigurationen, die trotz der Bemühungen hochqualifizierter Systemprogrammierer äußerst häufig sind, da die dynamische Umgebung und die enorme Anzahl an Benutzerkonten nahezu unmöglich perfekt zu verwalten sind. Doch selbst wenn Sie eine perfekte Sicherheitslage haben, bei der keines der oben genannten Punkte erfolgreich ist, können Sie dennoch anfällig für einen 0Day-Software-Exploit sein. Es gibt nur sehr wenige Sicherheitsforscher, die nach Software-Exploits für den Großrechner suchen, was vielen Systemprogrammierern den Glauben gibt, dass sie sicher sind. Leider ist es viel wahrscheinlicher, dass dies sie verwundbarer macht. Pirate Boy-Mitbegründer Gottfrid Svartholm entwickelte mehrere 0Day-Angriffe, während er die schwedische Nordea Bank angriff, um mehr als 20 RACF-Spezial-Benutzer-IDs zu erstellen. ⁵ Es gibt auch Unternehmen wie Key Resources Inc., die eine Vulnerability Analysis Program (VAP)-Lösung anbieten, die Software auf mögliche Speicher- und Berechtigungsverletzungen scannt und oft Dutzende potenzieller Exploits in den gängigsten Softwareprodukten auf dem Markt findet⁶. Eine schnelle Google-Suche nach IBM^® Guardium^® in der Common Vulnerability and Exposures Datenbank liefert allein in dieser Lösung über 40 Schwachstellen. ⁷

Wenn Sie die erheblichen Herausforderungen bei der effektiven Verteidigung gegen Angriffe auf Privilegien-Eskalation angehen, wird deutlich, dass Mainframe-Sicherheitsprofis Unterstützung bei der sofortigen Identifizierung von Benutzern benötigen, die einen Weg finden, ihre Privilegien zu eskalieren. Die Endpunkterkennungs- und Antwortlösung von BMC AMI Security verfolgt alle Berechtigungen der Nutzer und benachrichtigt das Security Operations Center und die Mainframe-Administratoren sofort in Echtzeit, wenn die Zugangsdaten eines Nutzers geändert werden und er Zugriff auf zuvor abgelehnte Datensätze erhält. Dies ermöglicht es dem Sicherheitsteam, sofort zu reagieren und zu beheben, bevor ein potenzieller Datenverstoß oder Ransomware die wertvollen Daten auf dem Mainframe zerstört. Wenn Sie mehr über diese Softwarelösung erfahren möchten, kontaktieren Sie bitte Christopher_perry@bmc.com oder besuchen Sie BMC Software für weitere Informationen.

¹ https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/ ↩

² https://www.helpnetsecurity.com/2019/04/05/detect-insider-threats/ ↩

³ https://github.com/ayoul3/privesc ↩

⁴ https://www.ibm.com/support/knowledgecenter/en/SSLTBW_2.3.0/com.ibm.zos.v2r3.icha700/pass.htm ↩

⁵ https://www.share.org/blog/the-mainframe-security-threat,-inside-and-out ↩

⁶ https://www.cvedetails.com/vulnerability-list/vendor_id-14/product_id-32588/IBM-Security-Guardium.html ↩

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.