Zerologon

ملخص

حزمة كشف لـ Zeek لثغرة CVE-2020-1472، المعروفة أيضًا باسم Zerologon، وهي ثغرة تصعيد صلاحيات بتقييم CVSS 10.0 تستهدف بروتوكول Netlogon في وحدات تحكم المجال لنظام Windows Server.

إشعارات

افتراضيًا، يتم رفع الإشعارين معًا:

• Zerologon_Attempt يشير إلى أن العدد المطلوب من محاولات تسجيل الدخول تم خلال فترة زمنية قصيرة.
• Zerologon_Password_Change يشير إلى ما سبق، وأن تغيير كلمة المرور تم بنجاح.

عند ضبط notice_on_exploit_only إلى T عبر redef في cluster.zeek، سيتم إنشاء إشعار Zerologon_Password_Change فقط.

الاستخدام والملاحظات

• تم اختباره على إصدارات Zeek 3.3.0-dev.53-debug و3.2.0، وعلى Corelight Sensor v19. يجب أن يعمل مع Zeek 3.0 والإصدارات الأحدث.
• تعمل هذه الحزمة في البيئات المجمّعة (clustered) وغير المجمّعة.
• تم تطويره باستخدام ملفات PCAP للهجوم المرفقة.

المراجع

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/