Forensische tool kan nu ook Microsoft-accounts kraken

[Captain Kirk]

Het Russische softwarebedrijf Elcomsoft heeft een update voor het programma System Recovery uitgebracht waarmee Windows 8- en 8.1- en Windows 10-accounts waarvoor een Microsoft-account wordt gebruikt direct kunnen worden ontgrendeld door de inloggegevens te resetten. Daarnaast is het mogelijk om de wachtwoordhash te exporteren en die vervolgens te kraken. (pdf).

"In veel gevallen kan zo het originele plain-text wachtwoord worden achterhaald", zegt Oleg Afonin. Op deze manier kan er toegang tot alle gebruikersgegevens worden verkregen die op basis van het accountwachtwoord waren versleuteld. Afonin erkent dat dit niet nieuw is, aangezien hetzelfde al tien jaar geleden met lokale Windowsaccounts kon. "Wat wel is veranderd is het soort informatie dat via het Microsoft-accountwachtwoord dat we hebben achterhaald kan worden benaderd. Dit is zo'n geval waarbij een kleine verandering allerlei nieuwe mogelijkheden voor digitaal forensisch onderzoek introduceert."

Microsoft Account

Het Microsoft-account, voorheen bekend als Windows Live ID, is een single sign-on-oplossing waarmee op allerlei Microsoftdiensten kan worden ingelogd. Als gebruikers een Microsoft-account gebruiken om op hun computer met Windows 8, 8.1 of 10 in te loggen krijgen ze bijvoorbeeld toegang tot Microsoft OneDrive. Ook zorgt het inloggen met een Microsoft-account ervoor dat de computer wordt versleuteld middels BitLocker. De herstelsleutel wordt standaard in de cloud van Microsoft bewaard, in het geval de gebruiker zijn wachtwoord vergeet. Een onderzoeker die toegang tot het Microsoft-account heeft kan zodoende ook de BitLocker-herstelsleutels van dat account benaderen.

"In tegenstelling tot lokale Windows-accounts worden inloggegevens van Microsoft-accounts op de servers van Microsoft opgeslagen en online geauthenticeerd", merkt Afonin op. "Het uitvoeren van een grootschalige online aanval op een Microsoft-account is onmogelijk, maar omdat er een lokale kopie van de wachtwoordhash wordt opgeslagen om offline authenticatie te bieden, kunnen wij hier gebruik van maken om de hash te achterhalen en die te kraken, wat het originele wachtwoord oplevert. Met dit wachtwoord kunnen experts allerlei soorten data van het online account benaderen." Elcomsoft omschrijft System Recovery als een tool voor forensische onderzoekers en it-beveiligingsspecialisten.

 

bron: security.nl