Ein großer Teil der IT-Infrastruktur läuft ja in Microsofts Cloud und wird per Entra ID verwaltet. Die Tage bin ich auf einen Blogbeitrag gestoßen, der zeigt, wie KI, JavaScript-Browser-Automatisierung und Microsoft Graph-API-Aufrufe genutzt werden können, um die böswillige Löschung und Sperrung von Entra ID-Mandanten zu automatisieren.
Ransomware für die Cloud?
Es war der nachfolgende Tweet, der mich aufmerken ließ und zum Beitrag Automating Entra ID tenant destruction with AI des Sicherheitsanbieters Netwrix führte.
Die netwrix Sicherheitsspezialisten haben sich die Frage gestellt, was ein Browser mit Javascript und etwas AI über die Microsoft Graph API-Schnittstelle bei einem Entra ID-Tenant anrichten kann, wenn das missbraucht wird.
MS Graph Explorer und Zutaten für böswillige Aktionen
Der Microsoft Graph Explorer ist ein browserbasiertes Tool zum Senden von Microsoft Graph-API-Anfragen an einen Entra ID-Mandanten. Er wird in der Regel von Administratoren und Entwicklern genutzt, um API-Aufrufe zu testen, Antworten zu überprüfen und zu ermitteln, welche Berechtigungen erforderlich sind.
Für ihr Experiment haben die Sicherheitsspezialisten von netwrix Claude for Chrome zum Zugriff auf eine AI verwendet. Zudem war im Browser JavaScript aktiviert. Mit "Claude for Chrome" wird Claude als AI-Lösung direkt in den Browser integriert, wo es mit Webseiten interagieren, UI-Elemente untersuchen und bei der Ausführung von Aktionen helfen kann. Alles passiert über dieselbe Oberfläche, die ein Benutzer normalerweise manuell nutzen würde.
In Kombination mit den Chrome-Entwicklertools und browserseitigem JavaScript gehen die Möglichkeiten über einfache Eingabeaufforderungen hinaus und ermöglichen die Automatisierung von Arbeitsabläufen innerhalb des Graph Explorers. Damit war eine KI-gestützte Browser-Automatisierung möglich, die den Microsoft Graph Explorer in eine zerstörerische Entra ID-Verwaltungsschnittstelle verwandeln kann.
Voraussetzung ist lediglich, dass das Ganze unter einem angemeldeten Benutzerkonto, welches bereits über einen privilegierten Zugriff verfügt, ausgeführt wird. Beim KI-Einsatz in Unternehmen kein wirklichkeitsfremdes Szenario mehr. Dann reichten Microsoft Graph-Batch-Anfragen, um zerstörerische Aktionen wie das Löschen von Benutzern, das Deaktivieren von Konten, das Zurücksetzen von Passwörtern, das Widerrufen von Sitzungen und das Entfernen von Richtlinien für den bedingten Zugriff (Conditional Access) direkt aus der Browsersitzung heraus automatisieren. Details lassen sich dem verlinkten Artikel entnehmen.
MVP: 2013 – 2016
Die Angriffsvektoren XSS/CSRF/u.ä. müssen da wohl neu gelernt werden.