zBang ist ein spezielles Risikobewertungstool, das potenzielle Bedrohungen durch privilegierte Konten im gescannten Netzwerk erkennt.

Organisationen und Red Teams können zBang nutzen, um potenzielle Angriffsvektoren zu identifizieren und die Sicherheitslage des Netzwerks zu verbessern. Die Ergebnisse können über die grafische Oberfläche oder durch Überprüfung der rohen Ausgabedateien analysiert werden.

Weitere Details zu zBang finden Sie im Blogbeitrag „The Big zBang Theory“ von @Hechtov:
https://www.cyberark.com/threat-research-blog/the-big-zbang-theory-a-new-open-source-tool/

Das Tool besteht aus fünf verschiedenen Scan-Modulen:

1. ACLight-Scan – erkennt die am stärksten privilegierten Konten, die geschützt werden müssen, einschließlich verdächtiger Shadow Admins.
2. Skeleton-Key-Scan – erkennt Domänencontroller, die möglicherweise mit Skeleton-Key-Malware infiziert sind.
3. SID-History-Scan – erkennt versteckte Privilegien in Domänenkonten mit sekundärer SID (SID-History-Attribut).
4. RiskySPNs-Scan – erkennt riskante Konfigurationen von SPNs, die zu einem Diebstahl von Anmeldeinformationen von Domänenadministratoren führen könnten.
5. Mystique-Scan – erkennt riskante Konfigurationen der Kerberos-Delegierung im Netzwerk.

Zu Ihrer Information gibt es außerdem ein zusammengefasstes Datenblatt zu zBang:
https://github.com/cyberark/zBang/blob/master/zBang%20Summarized%20Data%20Sheet.pdf

Ausführungsanforderungen

1. Führen Sie es mit einem beliebigen Domänenbenutzer aus. Die Scans erfordern keine zusätzlichen Berechtigungen; das Tool führt schreibgeschützte LDAP-Abfragen an den DC durch.
2. Führen Sie das Tool von einem der Domäne beigetretenen Computer (einem Windows-Computer) aus.
3. PowerShell Version 3 oder höher und .NET 4.5 (standardmäßig in Windows 8/2012 und höher enthalten).

Schnellstartanleitung

1. Laden Sie die Release-Version von diesem GitHub-Repository Link herunter und führen Sie sie aus, oder kompilieren Sie sie mit Ihrem bevorzugten Compiler.
   • Manchmal müssen Sie die heruntergeladene zBang.exe-Datei „entsperren“, wenn Sie sie über den Browser herunterladen.
2. Wählen Sie im Startbildschirm aus, welche Scans Sie ausführen möchten.
   Im folgenden Beispiel sind alle fünf Scans ausgewählt:

3. Klicken Sie auf „Reload“, um Demo-Ergebnisse anzuzeigen.
   Das zBang-Tool enthält integrierte Demo-Daten; Sie können die Ergebnisse der verschiedenen Scans anzeigen und mit der grafischen Oberfläche experimentieren.
4. Klicken Sie auf „Launch“, um neue Scans in Ihrem Netzwerk zu starten. Ein neues Fenster wird geöffnet und zeigt den Status der verschiedenen Scans an.

5. Wenn die Scans abgeschlossen sind, erscheint eine Meldung, dass die Ergebnisse in eine externe ZIP-Datei exportiert wurden.

6. Die Ergebnis-ZIP-Datei befindet sich im selben Ordner wie zBang und hat einen eindeutigen Namen mit der Uhrzeit und dem Datum der Scans. Sie können auch frühere Ergebnisse in die zBang-GUI importieren, ohne die Scans erneut ausführen zu müssen.
   Klicken Sie dazu auf „Import“ im Startbildschirm von zBang.

Ergebnisse von zBang durchgehen

A. ACLight-Scan:

1. Wählen Sie die Domäne aus, die Sie gescannt haben.
2. Sie sehen eine Liste der am stärksten privilegierten Konten, die entdeckt wurden.
3. Linke Seite – „Standard“-privilegierte Konten anzeigen, die ihre Privilegien durch ihre Gruppenmitgliedschaft erhalten.
4. Rechte Seite – „Shadow Admins“ anzeigen. Diese Konten erhalten ihre Privilegien durch direkte ACL-Berechtigungszuweisungen. Diese Konten sind möglicherweise heimlicher als normale „Domänenadministrator“-Benutzer und daher möglicherweise nicht so sicher, wie sie sein sollten. Angreifer zielen häufig auf solche Konten ab und versuchen, sie zu kompromittieren.
5. Bei jedem Konto können Sie doppelklicken und dessen Berechtigungsgraph überprüfen. Dies kann Ihnen helfen zu verstehen, warum dieses Konto als privilegiert eingestuft wurde.

6. Die verschiedenen missbrauchbaren ACL-Berechtigungen werden auf einer kleinen Hilfeseite beschrieben. Klicken Sie auf das „Fragezeichen“ in der oberen rechten Ecke, um sie anzuzeigen:

7. Weitere Details zur Bedrohung durch Shadow Admins finden Sie im Blogbeitrag – „Shadow Admins – The Stealthy Accounts That You Should Fear The Most“:
   https://www.cyberark.com/threat-research-blog/shadow-admins-stealthy-accounts-fear/

8. Zur manuellen Überprüfung der Scanergebnisse entpacken Sie die gespeicherte zBang-Ergebnisdatei und prüfen Sie den Ergebnisordner: „[Pfad der entpackten zBang-Ergebnisdatei]\ACLight-master\Results“ enthält einen zusammenfassenden Bericht – „Privileged Accounts - Layers Analysis.txt“.

9. Für jedes entdeckte privilegierte Konto:

   • Identifizieren Sie das privilegierte Konto.
   • Reduzieren Sie unnötige Berechtigungen von diesem Konto.
   • Sichern Sie das Konto. Nachdem Sie diese drei Schritte überprüft haben, können Sie das Konto mit einem „V“ im kleinen Auswahlkästchen markieren, wodurch es in der Oberfläche grün wird.

10. Das Ziel ist es, alle Konten als „gesichert“ mit grüner Farbe zu markieren.

B. Skeleton-Key-Scan

1. Auf der Scan-Seite (klicken Sie auf das entsprechende Lesezeichen im obigen Abschnitt) wird eine Liste aller gescannten DCs angezeigt.
2. Stellen Sie sicher, dass alle sauber und grün markiert sind.
3. Wenn der Scan einen potenziell infizierten DC findet, ist es entscheidend, einen Untersuchungsprozess einzuleiten.

4. Weitere Details zur Skeleton-Key-Malware finden Sie im Blogbeitrag „Active Directory Domain Controller Skeleton Key Malware & Mimikatz“ von @PyroTek3: https://adsecurity.org/?p=1255

C. SID-History-Scan

1. Auf dieser Scan-Seite wird eine Liste der Domänenkonten mit sekundärer SID (SID-History-Attribut) angezeigt.
2. Jedes Konto hat zwei Verbindungspfeile, einen nach links für seine primäre SID, den anderen nach rechts für seine sekundäre SID (mit dem Maskensymbol).
3. Wenn die primäre SID privilegiert ist, wird sie rot dargestellt, und wenn die SID-History privilegiert ist, wird sie als rote Maske angezeigt.
4. Sie sollten nach den möglicherweise sehr riskanten Situationen suchen, in denen ein Konto eine nicht privilegierte primäre SID, aber gleichzeitig eine privilegierte sekundäre SID hat.
   Dieses Szenario ist sehr verdächtig, und Sie sollten dieses Konto überprüfen und untersuchen, warum es eine privilegierte sekundäre SID erhalten hat. Stellen Sie sicher, dass es nicht von einem potenziellen Eindringling im Netzwerk hinzugefügt wurde.

* Zur besseren Visualisierung werden bei einer großen Anzahl von Konten mit nicht privilegierter SID-History (mehr als zehn) diese aus der Anzeige herausgefiltert, da diese Konten weniger sensibel sind.

5. Zur manuellen Überprüfung der Scanergebnisse entpacken Sie die gespeicherte zBang-Ergebnisdatei und prüfen Sie die CSV-Datei:
   „[Pfad der entpackten zBang-Ergebnisdatei]\SIDHistory\Results\Report.csv".
6. Weitere Details zum Missbrauch von SID-History finden Sie im Blogbeitrag „Security Focus: sIDHistory“ von Ian Farr: https://blogs.technet.microsoft.com/poshchap/2015/12/04/security-focus-sidhistory-sid-filtering-sanity-check-part-1-aka-post-100/

D. RiskySPNs-Scan

1. Auf der Scan-Ergebnisseite wird eine Liste aller SPNs angezeigt, die mit Benutzerkonten registriert sind.
2. Wenn das Benutzerkonto ein privilegiertes Konto ist, wird es rot dargestellt.
3. Es ist sehr riskant, SPNs zu haben, die unter privilegierten Konten registriert sind. Versuchen Sie, diese SPNs zu ändern oder zu deaktivieren. Verwenden Sie Maschinenkonten für SPNs oder reduzieren Sie unnötige Berechtigungen der Benutzer, für die SPNs registriert sind. Es wird außerdem empfohlen, diesen Benutzern starke Passwörter zuzuweisen und eine automatische Rotation jedes Passworts zu implementieren.

4. Zur manuellen Überprüfung der Scanergebnisse entpacken Sie die gespeicherte zBang-Ergebnisdatei und prüfen Sie die CSV-Datei:
   „[Pfad der entpackten zBang-Ergebnisdatei]\RiskySPN-master\Results\RiskySPNs-test.csv".
5. Weitere Details zu riskanten SPNs finden Sie im Blogbeitrag „Service Accounts – Weakest Link in the Chain“:
   https://www.cyberark.com/blog/service-accounts-weakest-link-chain/

E. Mystique-Scan

1. Die Scan-Ergebnisseite enthält eine Liste aller entdeckten Konten, die mit Delegierungsberechtigungen ausgestattet sind.
2. Es gibt drei Delegierungstypen: Uneingeschränkt (Unconstrained), Eingeschränkt (Constrained) und Eingeschränkt mit Protokollübergang (Constrained with Protocol Transition). Die Farbe des Kontos entspricht seinem Delegierungsberechtigungstyp.
3. Deaktivieren Sie alte und ungenutzte Konten, die mit Delegierungsrechten ausgestattet sind. Überprüfen Sie insbesondere die riskanten Delegierungstypen „Uneingeschränkt“ und „Eingeschränkt mit Protokollübergang“. Konvertieren Sie „Uneingeschränkte“ Delegierung in „Eingeschränkte“ Delegierung, sodass sie nur für bestimmte benötigte Dienste erlaubt ist. Der Delegierungstyp „Protokollübergang“ muss erneut validiert und nach Möglichkeit deaktiviert werden.

4. Zur manuellen Überprüfung der Scanergebnisse entpacken Sie die gespeicherte zBang-Ergebnisdatei und prüfen Sie die CSV-Datei: „[Pfad der entpackten zBang-Ergebnisdatei]\Mystique-master\Results\delegation_info.csv".
5. Weitere Details zur riskanten Delegierungskonfiguration finden Sie im Blogbeitrag: „Weakness Within: Kerberos Delegation“: https://www.cyberark.com/threat-research-blog/weakness-within-kerberos-delegation/

Leistung

zBang läuft schnell und benötigt keine speziellen Berechtigungen im Netzwerk. Da die einzige erforderliche Kommunikation mit dem Domänencontroller über legitime schreibgeschützte LDAP-Abfragen erfolgt, beträgt eine typische Ausführungszeit von zBang in einem Netzwerk mit etwa 1.000 Benutzerkonten sieben Minuten.
Wenn Sie beabsichtigen, große Netzwerke mit mehreren vertrauensverbundenen Domänen zu scannen, wird empfohlen, die Domänenvertrauenskonfiguration zu überprüfen oder zBang separat aus jeder Domäne auszuführen, um mögliche Berechtigungs- und Konnektivitätsprobleme zu vermeiden.

Prüfsumme

zBang Version 1.2.1:
SHA-256 ce747740a9a24c330c18c2f09f6ee344e1806666abf21c8c2f964fa61f438903

Autoren

zBang wurde von CyberArk Labs als schneller und unkomplizierter Proof-of-Concept (POC) entwickelt, um Sicherheitsteams weltweit zu unterstützen. Feedback und Kommentare sind willkommen.

Hauptansprechpartner:
Asaf Hecht (@Hechtov), Nimrod Stoler (@n1mr0d5) und Lavi Lazarovitz (@__Curi05ity__)