Experienced Penetration Tester @ A-LIGN
Jose Rivas
Jose Manuel Rivas is a Penetration Tester and Red Team Operator at A-LIGN, with hands-on experience in adversarial simulations, Active Directory attack chains, web application testing, and physical security assessments. He has multiple CVEs to his name, discovered through bug bounty programs and independent vulnerability research. Co-founder of Zero Trust Offsec and founder of DCG Panama, Panama's first official DEF CON chapter. He has spoken at BSides Colombia, BSides Panama, OWASP Panama, and DOJOConf, and is focused on growing the penetration testing and red team culture across Latin America.
EMAIL:
bl4cksku111@gmail.comResumen de la Charla
¿Son el MFA y el Acceso Condicional una garantía de seguridad real? En esta sesión técnica, demostraremos cómo el compromiso de un endpoint permite a un atacante saltarse las barreras de identidad tradicionales en la nube. La charla se centra en la explotación de vulnerabilidades en Microsoft Entra ID, desglosando una cadena de ataque avanzada:
Abuso de Device Code Flow: Explotación de flujos de autenticación para acceso inicial (Demo con Entraith).
PowerShell Hijacking: Intercepción de procesos para la obtención de tokens de sesión (GrabTokenAzureAD).
Extracción con Sliver BOF: Uso de Beacon Object Files para la exfiltración sigilosa de tokens y del Primary Refresh Token (PRT) directamente desde la memoria, evadiendo defensas anti-malware.
Bypass de MFA e Intune: Hemos desarrollado herramientas personalizadas para extraer PRTs locales, eludir los controles de gestión de dispositivos de Intune y saltarse la aplicación de MFA a nivel de token.
Todo este ciclo de vida de ataque ha sido consolidado en Entraith, un framework ofensivo desarrollado desde cero por nuestro equipo de investigación que será lanzado públicamente en DEF CON 34. Entraith permite ejecutar ataques de device code, renovación de tokens, inspección de correos/aplicaciones y generación de persistencia multi-vector desde una única interfaz
CHARLA
Tokens and PRT: Advanced Attacks and Persistence in Microsoft Entra ID