Vindicate

Ein LLMNR/NBNS/mDNS-Spoofing-Erkennungs-Toolkit für Netzwerkadministratoren

Was ist Vindicate?

Vindicate ist ein Tool, das Namensdienst-Spoofing erkennt, das häufig von IT-Netzwerk-Angreifern verwendet wird, um Anmeldeinformationen (z. B. Windows Active Directory-Passwörter) von Benutzern zu stehlen. Es wurde entwickelt, um den Einsatz von Hacking-Tools wie Responder, Inveigh, NBNSpoof und Metasploit's LLMNR, NBNS und mDNS Spoofer zu erkennen, während Fehlalarme vermieden werden. Dies kann es einem Blue Team ermöglichen, Angreifer in ihrem Netzwerk schnell zu erkennen und zu isolieren. Es nutzt das Windows-Ereignisprotokoll, um sich schnell in ein Active Directory-Netzwerk zu integrieren, oder seine Ausgabe kann zur Protokollierung an andere Systeme weitergeleitet werden.

Es gibt ein Diagramm, das Spoofing-Angriffe und die Funktionsweise von Vindicate im Wiki erklärt.

Erfordert .NET Framework 4.5.2

Was ist LLMNR/NBNS/mDNS-Spoofing und warum muss ich es erkennen?

• pentest.blog: Was ist LLMNR & WPAD und wie man sie während eines Pentests missbraucht?
• Aptive Consulting: LLMNR / NBT-NS Spoofing-Angriff – Netzwerk-Penetrationstest
• GracefulSecurity: Konten stehlen: LLMNR- und NBT-NS-Spoofing

TL;DR - Angreifer könnten alle möglichen Anmeldeinformationen in Ihrem Netzwerk stehlen (von Active Directory-Anmeldedaten über persönliche E-Mail-Konten bis hin zu Datenbank-Passwörtern) direkt vor Ihrer Nase und Sie sind sich möglicherweise gar nicht bewusst, dass dies geschieht.

Lizenzierung

Vindicate ist urheberrechtlich geschützt von Danny 'Rushyo' Moules und wird unter einer GPLv3-Lizenz ohne Gewährleistung bereitgestellt. Siehe LICENSE.

Schnellstart

Laden Sie VindicateTool herunter.

Öffnen Sie eine nicht erhöhte Eingabeaufforderung oder PowerShell-Eingabeaufforderung und geben Sie Folgendes im Unterordner ReleaseBinaries ein:

./VindicateCLI.exe

Vindicate wird nun nach LLMNR/NBNS/mDNS-Spoofing suchen und Bericht erstatten.

Wenn Sie nichts passieren sehen, versuchen Sie, das Flag -v zu verwenden, um eine ausführlichere Ausgabe darüber zu erhalten, was Vindicate tut.

Wenn Spoofing stattfindet, sehen Sie möglicherweise so etwas wie:

Received mDNS response from 192.168.1.24 claiming 192.168.1.24
Spoofing confidence level adjusted to Medium
Received LLMNR response from 192.168.1.24 claiming 192.168.1.24
Received NBNS response from 192.168.1.24 claiming 192.168.1.24
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Spoofing confidence level adjusted to Certain
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected active WPAD service at 192.168.1.24 claiming HTTP Code OK
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24
Detected service on SMB TCP port at 192.168.1.24

Dies deutet auf einen laufenden Angriff hin (in diesem Fall Responder, der mit Standardeinstellungen läuft).

Drücken Sie ESC, um die Anwendung zu schließen.

Weitere Informationen

Verwenden Sie -v mit VindicateCLI, um eine ausführlichere Ausgabe zu erhalten.

Die richtige IP-Adresse einstellen

Vindicate versucht, Ihre IP-Adresse automatisch zu erkennen. Wenn Sie mehrere Netzwerkschnittstellen haben, kann dies eine Adresse im falschen Netzwerk liefern. Verwenden Sie in diesem Fall -a, um die gewünschte IP-Adresse einzugeben.

Aktivieren der Ereignisprotokollierung

Öffnen Sie eine erhöhte (Administrator-)PowerShell-Eingabeaufforderung und geben Sie Folgendes ein:

New-EventLog -Source "VindicateCLI" -LogName "Vindicate"

Führen Sie die CLI-App mit -e aus, um die Ereignisprotokollierung zu aktivieren. Der Dienst verwendet automatisch das Windows-Ereignisprotokoll (oder das Mono-Äquivalent).

Ereignisprotokolle werden unter Applications and Services Log\Vindicate gespeichert.

Dienstinstallation

Führen Sie von einer erhöhten PowerShell-Eingabeaufforderung aus (passen Sie FULL\PATH\TO\ und ARGSHERE entsprechend an):

New-EventLog -Source "VindicateService" -LogName "Vindicate"
sc.exe create "VindicateService" DisplayName="Vindicate" start=auto binPath="FULL\PATH\TO\ReleaseBinaries\VindicateService.exe ARGSHERE" obj="NT Authority\NetworkService"
sc.exe start "VindicateService"

Der Dienst unterstützt alle Flags der CLI-App außer -e (Ereignisprotokolle sind immer aktiviert). Vergessen Sie nicht, die lokale Firewall zu aktualisieren!

Nützliches

Build-Voraussetzungen

Erfordert .NET Framework 4.5.2 und Visual Studio 2015 oder höher zum Erstellen. Vorkompilierte Binärdateien sind unter ReleaseBinaries verfügbar.

Firewall-Konfiguration

Eingehend:

• UDP Local 49501 <- Remote 5355 (LLMNR)
• UDP Local 49502 <- Remote 137 (NBNS)
• UDP Local 5353 <- Remote 5353 (mDNS)

Ausgehend:

• UDP Local 49501 -> Remote 5355 (LLMNR)
• UDP Local 49502 -> Remote 137 (NBNS)
• UDP Local 5353 -> Remote 5353 (mDNS)
• TCP Local 49152-65535* -> Remote 80 (WPAD)
• TCP Local 49152-65535* -> Remote 443 (WPAD)
• TCP Local 49152-65535* -> Remote 139 (SMB)

*Ephemere Ports. Die angegebenen Werte gelten für Windows Vista+

Wichtige Ereignis-IDs

• 7 - Dies zeigt an, dass Vindicate sein Vertrauen in eine Bewertung, dass Spoofing* stattfindet, erhöht hat.
• 8 - Ein WPAD-Dienst (Web Proxy Auto-Detection) an einem gespooften* Ort erkannt.
• 11 - Ein SMB-Dienst (Server Message Block) an einem gespooften* Ort erkannt.
• 6 - Eine gespoofte* Antwort auf eine Namensabfrage erhalten.

Eine vollständige Liste finden Sie im Wiki.

Hinweise

• *Standardmäßig verwendet Vindicate Suchnamen, die in keinem Netzwerk existieren sollten, aber für einen Angreifer, der möglicherweise zusieht, halbwegs realistisch aussehen, um Fehlalarme zu vermeiden, wenn Sie echte Dienste haben, die auf diese Namensauflösungen angewiesen sein könnten. Wenn Systeme mit diesen Namen tatsächlich in Ihrem Netzwerk existieren, wird Vindicate Fehlalarme auslösen.
• Aufgrund des oben Gesagten funktioniert Vindicate am besten mit benutzerdefinierten Flags, die auf Ihre Umgebung abgestimmt sind. Verwenden Sie -h, um Hilfe zu erhalten.
• Da Vindicate eine teilweise benutzerdefinierte Namensdienstimplementierung verwendet, die in .NET geschrieben ist, funktioniert es auch, wenn die Multicast-Auflösung auf dem Client deaktiviert ist.
• Vindicate verlässt sich derzeit hauptsächlich auf das Erhalten einer WPAD-Antwort, wobei die SMB-Erkennung sehr einfach ist (es wird nur geprüft, ob ein SMB-Port verwendet wird). Wenn Vindicate übernommen und genutzt wird, werde ich einen SMB-Client schreiben, um SMB-Server ordnungsgemäß zu verifizieren und das Vertrauen von Vindicate in seine Erkennung zu erhöhen.
• Vindicate kann mDNS-Spoofing (oft mit Mac OS verbunden) erkennen, aber diese Erkennung funktioniert unter Windows nicht, wenn die Multicast-Auflösung aktiviert ist, da ein erforderlicher Port vom Betriebssystem verwendet wird. Erwägen Sie, ihn aus Sicherheitsgründen zu deaktivieren (und setzen Sie den DNS-Dienst zurück, um die Änderungen zu übernehmen).
• Vindicate benötigt keine Administratorrechte zum Ausführen und ist traurig, wenn Sie es mit hohen Berechtigungen ausführen.
• Vindicate kann falsche Anmeldeinformationen an einen Angreifer senden, um seine Bewegungen zu stören. Schauen Sie sich die Flags -u, -p und -d an.
• Vindicate wurde mit Blick auf plattformübergreifende Nutzung geschrieben, aber noch nicht für diesen Zweck getestet. Falls dies gewünscht wird, teilen Sie mir dies bitte über ein Issue und Ihre Plattform mit.