Microsoft Entra ID permite la delegación de la autenticación a otro proveedor por medio de la federación. Sin embargo, los atacantes con privilegios elevados pueden explotar esta característica al agregar su dominio federado malintencionado, lo que lleva a la persistencia y al escalamiento de privilegios.

Un inquilino de Microsoft Entra puede <a href="https://learn.microsoft.com/es-es/entra/identity/hybrid/connect/whatis-fed">federarse con un dominio externo</a> para establecer una relación de confianza con otro dominio a los efectos de autenticación y autorización. Las organizaciones emplean la federación para delegar la autenticación de los usuarios de Active Directory en sus instancias locales de Active Directory Federation Services (AD FS). (Nota: El dominio externo no es un “dominio” de Active Directory).
No obstante, si agentes malintencionados obtienen privilegios elevados en Microsoft Entra ID, pueden aprovecharse de este mecanismo de federación para crear una puerta trasera al agregar su propio dominio federado o editar uno existente para agregar una configuración secundaria con sus propias opciones. Este ataque permitiría las siguientes acciones:
<ul>
<li>Suplantación de identidad: el dominio federado malintencionado puede generar tokens que permitan a un atacante autenticarse como cualquier usuario de Microsoft Entra sin que sepa ni restablezca la contraseña. Esto incluye usuarios “solo en la nube” (no híbridos) y usuarios externos. Esto hace posible ataques a Microsoft Entra ID, Microsoft 365 (O365) y otras aplicaciones que se basan en Microsoft Entra ID como proveedor de identidad (SSO), incluso si se exige la MFA (consulte a continuación).</li>
<li>Escalamiento de privilegios: el atacante puede suplantar la identidad de cualquier usuario, en particular de usuarios de Microsoft Entra con privilegios.</li>
<li>Omisión de la autenticación multifactor: con la autenticación federada, el dominio externo de confianza <a href="https://learn.microsoft.com/es-es/graph/api/resources/internaldomainfederation?view=graph-rest-beta#federatedidpmfabehavior-values">asume el rol de exigir la MFA</a>. Luego, el dominio federado malintencionado puede afirmar de manera falsa que la autenticación suplantada usó la MFA, en lo que Microsoft Entra ID confía, por lo que no vuelve a solicitar la MFA. Esto permite que el atacante suplante la identidad de todos los usuarios, incluso cuando existe la protección mediante MFA.</li>
<li>Persistencia: agregar un dominio federado malintencionado es una técnica sigilosa que permite que los atacantes que pusieron en riesgo al inquilino de Microsoft Entra y se apropiaron de privilegios elevados vuelvan a obtener acceso más adelante.</li>
</ul>
Este indicador de exposición detecta puertas traseras de dominios federados que se crean con el kit de herramientas de hackeo <a href="https://aadinternals.com/">AADInternals</a>, en particular, los cmdlets <code>ConvertTo-AADIntBackdoor</code> y <code>New-AADIntBackdoor</code>, en función de ciertas características del dominio con puerta trasera que se creó o convirtió.
Además, consulte el indicador de exposición relacionado, “Error de coincidencia de certificados de firma de federación”.
El protocolo de federación usado para transmitir la prueba de autenticación del dominio federado malintencionado a la instancia de Microsoft Entra ID objetivo puede ser WS-Federation o SAML. Al usar SAML, el ataque es similar a un ataque “<a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=9">Golden SAML</a>”, con estas diferencias principales:
<ul>
<li>En lugar de robar la clave de firma de SAML legítima de una federación existente, los atacantes inyectan su nuevo dominio con su propia clave. </li>
<li>Los atacantes presentan el token falsificado al servicio de federación para obtener acceso no autorizado a diversos sistemas, en lugar de presentarlo ante un servicio en particular.</li>
</ul>
Los permisos <code>microsoft.directory/domains/allProperties/allTasks</code> y <code>microsoft.directory/domains/federation/update</code> conceden a los administradores la capacidad de modificar los dominios federados. A partir de noviembre de 2023, los siguientes roles integrados de Microsoft Entra mantienen este permiso, además de los posibles roles personalizados:
<ul>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#domain-name-administrator">Administrador de nombres de dominio</a></li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#external-identity-provider-administrator">Administrador de proveedor de identidades externo</a></li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#hybrid-identity-administrator">Administrador de identidades híbridas</a></li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#global-administrator">Administrador global</a></li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#partner-tier2-support">Soporte para asociados de nivel 2</a></li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/role-based-access-control/permissions-reference#security-administrator">Administrador de seguridad</a></li>
</ul>
El grupo de amenazas APT29 se aprovechó de este método en el infame ataque de diciembre de 2020 contra SolarWinds, llamado “Solorigate”, según documentan <a href="https://www.microsoft.com/es-es/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">Microsoft</a> y <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=22">Mandiant</a>.

Defense Evasion (texto en inglés)

Detecciones

Puerta trasera conocida de dominios federados

CRITICAL

Version 202411071130