Заметки на полях: угоняем ажурный поддомен

Платформа Azure очень удобная - на ней легко можно развернуть нужное приложение или сервер, оперативно удалить не нужное приложение и сервер. Удобно, быстро, практично.

За исключением одного. Многие администраторы при удалении приложения не думают (или не знают) о том, что есть ещё DNS, запись которого никуда не пропадет (по всей видимости в Azure записи автоматически создаются, но не удаляются автоматически). Пропадает только конечный IP-адрес, который ссылался на старое приложение.

Как выяснилось такие доменные имена можно привязать к чужому Azure и спокойно использовать для различных махинаций.

Vincent Yiu в своей статье описал, что использовать данный недостаток можно для разворачивания С&C сервера.

Действительно круто, когда все агенты идут на поддомен компании. Никаких подозрений!

https://vincentyiu.co.uk/red-team/attack-infrastructure/azure-apps-for-command-and-control

#redteam