m365-entra-attack

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando usar esta habilidade

Ative quando:

• O alvo usa M365 / Entra ID (registros autodiscover.*, redirecionamentos login.microsoftonline.com, "Microsoft Office 365" em notas de tech-stack)
• Você tem uma lista de e-mails corporativos ou credenciais vazadas por stealers
• O engajamento envolve "credential spray", "password spray", "Entra attack", "ATO via M365"
• Você vê *.onmicrosoft.com, *-my.sharepoint.com, enterpriseregistration.*, enterpriseenrollment.* em recon
• O cliente menciona "Conditional Access", "MFA bypass", "compliant device"

NÃO use para:

• Active Directory apenas on-prem (use uma habilidade separada de ataque AD)
• Ataques de token de serviço para serviço (modelo de ameaça diferente)
• Cadeias de ataque que exigem phishing (cobertas por habilidades de phishing) — mas você pode se preparar para a etapa de validação de credenciais aqui

Descoberta de tenant (msftrecon)

# For each owned domain
msftrecon -d client.example
msftrecon -d clientltd.example
msftrecon -d sister-brand-school.example

Campos chave na saída:

• Tenant ID (domínios diferentes podem compartilhar OU ter tenants separados — sempre teste todos os domínios de propriedade)
• Federation Information.Namespace Type = Managed (apenas nuvem, ROPC funciona) | Federated (ADFS, ataque diferente)
• SharePoint Detected (Sim = vetor de enumeração OneDrive disponível)
• Communication Services Teams/Skype (alvos laterais pós-autenticação)
• Admin Consent Endpoint acessível (superfície de phishing de consentimento)

Sinal de alerta: se a organização tiver vários tenants do Entra para domínios irmãos, cada um é uma superfície de ataque separada com sua própria lista de usuários, política de bloqueio e configuração de CA. Não assuma que um spray cobre tudo.

Referência de código AADSTS (memorizar)

Insight crítico: qualquer código em {53003, 50076, 50079, 50158, 530003} significa que a senha está correta — a Microsoft só retorna isso APÓS a validação bem-sucedida das credenciais. Documente como uma descoberta confirmada como válida, mesmo que você não consiga obter um token.

Matemática do Smart Lockout (a disciplina de limite)

Política padrão da Microsoft:

• 10 tentativas de login falhas em 10 minutos → bloqueio de 1 minuto
• 20 tentativas de login falhas → bloqueios progressivamente mais longos (backoff exponencial)
• Contador compartilhado entre TODOS os fluxos de autenticação (ROPC + SAML + IMAP + EWS + SMTP + device-code)

Disciplina de engajamento:

• Limite rígido: ≤2 tentativas de senha por usuário durante toda a vida do engajamento (alguns engajamentos: 1)
• Arquivo de estado com escritas atômicas — nunca deixe duas execuções de teste competirem pelo contador
• Kill switch: pare a execução se mais de N respostas BLOQUEADAS forem observadas (sugere atividade de atacante pré-existente OU você contou errado; de qualquer forma, pause)

…