Pós-Exploração do Microsoft Graph com GraphRunner

Uso autorizado apenas: O GraphRunner realiza ações ofensivas contra tenants ativos do Microsoft 365 / Entra ID — implantando aplicativos OAuth, clonando grupos, adicionando membros e lendo caixas de correio, SharePoint e Teams. Execute-o apenas contra tenants que você possui ou para os quais está explicitamente autorizado por escrito para testar. O uso não autorizado é ilegal.

Visão Geral

O GraphRunner (Beau Bullock / Black Hills Information Security) é um conjunto de ferramentas de pós-exploração em PowerShell construído inteiramente na Microsoft Graph API. Dada uma token de acesso inicial, ele realiza reconhecimento, estabelece persistência, escala privilégios e pilham dados do M365 — tudo através do Graph, que se mistura ao tráfego normal e contorna muitos controles de endpoint. É o acompanhamento natural para roubo de credenciais/tokens (por exemplo, phishing de código de dispositivo ou ROADtools): uma vez que você possui acesso ao Graph, o GraphRunner o operacionaliza.

O conjunto de ferramentas é um único módulo PowerShell (GraphRunner.ps1) que expõe dezenas de funções agrupadas por finalidade:

• Autenticação — Get-GraphTokens (login com código de dispositivo), Invoke-RefreshGraphTokens, Invoke-AutoTokenRefresh, Invoke-ImportTokens, Invoke-RefreshToSharePointToken.
• Reconhecimento e Enumeração — Invoke-GraphRecon (resumo de permissões de tenant/usuário), Invoke-DumpCAPS (políticas de acesso condicional), Invoke-DumpApps (registros de aplicativos / concessões de consentimento), Get-AzureADUsers, Get-SecurityGroups, Get-UpdatableGroups, Get-DynamicGroups, Invoke-SearchUserAttributes, Invoke-GraphOpenInboxFinder, Find-PermissiveCalendars.
• Persistência — Invoke-InjectOAuthApp (implanta um aplicativo OAuth malicioso para persistência por consentimento), Invoke-CreateInboxForwardingRule.
• Escalonamento de Privilégios — Get-UpdatableGroups, Invoke-AddGroupMember, Invoke-SecurityGroupCloner, Invoke-InviteGuest.
• Pilhagem / Busca de Dados — Invoke-SearchMailbox, Invoke-SearchSharePointAndOneDrive, Invoke-SearchTeams, Get-TeamsChat, Invoke-DriveFileDownload.
• Runner Mestre — Invoke-GraphRunner executa um passe automatizado de reconhecimento e pilhagem; List-GraphRunnerModules imprime todos os módulos.

Isso se mapeia para o MITRE ATT&CK T1098 — Manipulação de Conta: O GraphRunner manipula contas, grupos e concessões OAuth (adicionando membros, injetando aplicativos, clonando grupos, convidando convidados) para manter e escalar o acesso no plano de identidade da nuvem.

Quando Usar

• Após obter um token de acesso/atualização válido do Microsoft Graph durante um engajamento autorizado de M365/Entra ID.
• Ao mapear permissões de tenant, políticas de acesso condicional e exposição de aplicativos OAuth.
• Ao estabelecer persistência na nuvem via concessões de consentimento OAuth ou regra de encaminhamento de caixa de entrada (no escopo).
• Ao demonstrar escalonamento de privilégios através de grupos atualizáveis/dinâmicos.
• Ao pesquisar caixas de correio, SharePoint/OneDrive e Teams por dados confidenciais para evidenciar impacto.

Pré-requisitos

• Autorização por escrito e escopo para o tenant alvo.
• Um ponto de acesso inicial com token do Graph (de Get-GraphTokens login com código de dispositivo, ou tokens importados).
• PowerShell 5.1+ ou PowerShell 7 (multiplataforma).

# Clone and import the module
git clone https://github.com/dafthack/GraphRunner.git
cd GraphRunner
Import-Module .\GraphRunner.ps1

# List every available module
List-GraphRunnerModules

Objetivos

• Autenticar no Microsoft Graph e manter tokens via atualização.
• Enumerar usuários, grupos, políticas de CA e aplicativos OAuth do tenant.
• Identificar grupos atualizáveis e demonstrar escalonamento de privilégios.
• Estabelecer persistência via um aplicativo OAuth injetado e/ou regra de encaminhamento de caixa de entrada.
• Pesquisar caixas de correio, SharePoint/OneDrive e Teams por conteúdo sensível.

Mapeamento MITRE ATT&CK

…