A veces me encuentro con sistemas que están segregados de una manera que sé que tiene fallas. El arreglo usualmente se ve así:
Hay un entorno de TI general, que sigue las mejores prácticas: parches, antivirus, política de contraseña, USB desactivado, etc. Sin embargo, es necesario que haya un equilibrio de seguridad y facilidad de uso en este entorno (por ejemplo, se permite el acceso a Internet ) por lo que está inherentemente en riesgo, y sería un objetivo fácil para las APT.
También hay una base de datos muy sensible, que se encuentra detrás de su propio firewall. El único acceso a la base de datos es la entrada del escritorio remoto, y tal vez una salida del servidor WSUS. Los administradores argumentan que esta base de datos está "estrechamente restringida" y que no hay forma de que los datos se puedan filtrar. En general, el escritorio remoto está bloqueado correctamente: las unidades compartidas y el portapapeles están desactivados.
Sé que esto es defectuoso. Si una estación de trabajo está comprometida, un atacante puede sentarse silenciosamente y recoger las credenciales del escritorio remoto. Entonces pueden tomar el control de la base de datos a través de escritorio remoto. La última pieza del rompecabezas es exfiltrar los datos. Sé que en teoría es posible hacer esto. Por ejemplo, el malware en la base de datos podría codificar datos como códigos QR, mostrarlos en la pantalla y permitir que el escritorio remoto se los transmita al cliente. El cliente podría analizar códigos QR en la sesión de escritorio remoto y capturar datos. De hecho, estoy seguro de que se podrían usar esquemas mucho más eficientes que los códigos QR.
Sin embargo, actualmente no tengo un medio práctico para explotar esto. ¿Conoces una forma práctica de exfiltrar datos en esta situación, algo así como sqlmap?