Pass-the-Cookie 공격으로 MFA 우회하기

패스 더 쿠키(Pass the Cookie) 공격이 작동하는 방식

MFA가 활성화되어 있으면, 사용자는 모바일 기기에서 푸시 알림을 수락하는 것처럼 추가적인 신원 증명을 제공해야 합니다. 사용자가 MFA를 통과하면 브라우저 쿠키가 생성되어 웹 세션을 위해 저장됩니다.

쿠키는 사용자 경험을 간편하게 해주지만, 명백한 취약점도 함께 가지고 있습니다. 누군가가 올바른 브라우저 쿠키를 추출할 수 있다면, 다른 시스템의 완전히 별도인 웹 브라우저 세션에서 다른 사용자로 인증을 받을 수 있습니다. 즉, 쿠키를 사용해 MFA를 통한 인증을 우회할 수 있다는 뜻입니다. (이는 Pass the Hash attack 의 Active Directory 에서의 경우와 유사합니다.)

공격자가 브라우저 쿠키를 추출하는 방법.

Google Chrome 브라우저의 예를 들어, 공격자가 쿠키를 추출하는 방법을 살펴보겠습니다. Chrome은 SQLite 데이터베이스의 다음 위치에 쿠키를 저장합니다:

      %localappdata%GoogleChromeUser DataDefaultCookies

The cookies for a given user are encrypted using keys tied to that user via the Microsoft Data Protection API (DPAPI). To access the cookie database and decrypt the cookies, an adversary can use the following mimikatz command:

dpapi::chrome /in:"%localappdata%GoogleChromeUser DataDefaultCookies" /unprotect

Alternatively, they could execute the following from the command line:

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%googlechromeUSERDA~1defaultcookies /unprotect" exit
      

이 두 옵션 중 하나를 사용하면 브라우저 쿠키가 제공됩니다.

Pass-the-Cookie 공격 시나리오

이제 실제 상황에서 Pass-the-Cookie 공격이 어떻게 작동하는지 살펴보겠습니다.

사용자 Tobias가 IT 관리자라고 가정해 보겠습니다. Tobias가 정기적으로 사용하는 웹 애플리케이션 중 하나는 Microsoft Azure 관리 포털입니다. MFA가 활성화되어 있으므로, Tobias가 Azure에 로그인할 때는 아래와 같이 모바일 기기의 인증기 앱에서 생성된 코드를 제공해야 합니다.

그렇다면 아무도 그의 iPhone을 훔치지 않는 한, 그의 Azure 자격 증명은 안전하겠죠? 생각보다 그렇지 않습니다. Tobias가 피싱 이메일을 클릭했거나 다른 수단으로 시스템이 침해당해, 이제 공격자가 Tobias의 사용자 컨텍스트 내에서 코드를 실행할 수 있게 되었다고 가정해 봅시다. Tobias는 노트북에서 관리자가 아니므로 피해는 제한될 것 같죠?

볼까요.

1단계. 쿠키를 추출합니다.

앞에서 살펴봤듯이, Tobias의 브라우저 쿠키를 얻기 위해 해야 할 일은 Tobias로 실행하는 상태에서 다음 명령을 실행하는 것입니다:

      mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%googlechromeUSERDA~1defaultcookies /unprotect" exit
      

이 경우에는 ESTSAUTH, ESTSAUTHPERSISTENT, ESTSAUTHLIGHT를 포함한 Azure 인증 쿠키에 관심을 둡니다. 최근에 Tobias가 Azure에서 활발히 활동했기 때문에 이러한 쿠키는 손쉽게 가져갈 수 있습니다:

2단계. 쿠키를 전달합니다.

Tobias의 사용자 ID나 비밀번호를 모르고 그의 모바일 기기에 접근할 수도 없으니 Tobias로 Azure 같은 웹 앱에 로그인할 수 없다고 생각할 수 있습니다.

하지만 그의 쿠키를 이미 가지고 있으므로, 다른 세션으로 쿠키를 전달하기만 하면 Tobias의 계정을 탈취할 수 있습니다. 이건 아주 간단합니다. 다른 서버에서 Chrome을 열고 “Inspect(검사)” 인터페이스를 사용해 쿠키를 삽입하기만 하면 됩니다.

2.1. 먼저 탈취한 세션을 확인합니다.

2.2. 다음으로 Application > Cookies로 이동합니다. 보시다시피 현재 쿠키에는 ESTSAUTH 또는 ESTSAUTHPERSISTENT가 포함되어 있지 않습니다.”:

2.3. ESTSAUTH 또는 ESTSAUTHPERSISTENT 쿠키를 추가합니다. (ESTSAUTHPERSISTENT를 사용할 수 있다면, “Stay Signed In” 옵션에서 생성되기 때문에 그것을 사용하는 것이 좋습니다.)

2.4. 페이지를 새로고침하니 이제 Tobias로 Azure에 로그인했습니다. — MFA가 필요하지 않습니다!

위험을 완화하는 방법

Pass-the-Cookie 공격은 몇 가지 이유로 심각한 위협입니다. 첫째, Pass-the-Cookie 공격은 관리자 권한을 필요로 하지 않습니다. 모든 사용자는 작업 PC에서 자신에게 특권 권한이 있는지와 관계없이, 자신의 브라우저 쿠키를 읽고 해독할 수 있습니다. 둘째, 공격자는 손상된 계정의 사용자 ID나 비밀번호를 알 필요가 없으므로 최소한의 정보로도 이 공격이 가능합니다. 셋째, 브라우저를 닫은 뒤에도 Pass-the Cookie 공격을 완료할 수 있었습니다.

쿠키 도난 위험을 최소화하는 한 가지 방법은 사용자의 쿠키를 더 자주 삭제하는 것입니다. 하지만 이렇게 하면 사용자가 사이트를 탐색할 때마다 매번 재인증을 해야 하므로 사용자에게 불편을 초래하고, 쿠키를 잃지 않기 위해 브라우저를 절대 닫지 않으려는 상황이 발생할 수 있습니다.

더 나은 전략은 인증 모니터링과 이러한 위협 탐지 제품을 도입하는 것입니다. Netwrix Threat Manager 는 예상과 다른 방식으로 사용되고 있는 계정을 신속하게 감지하므로 악성 활동을 빠르게 차단할 수 있습니다.