CVE-2020-1472 (ZeroLogon) Erkennungs- und Abwehr-Demo

Dieses Projekt demonstriert die Erkennung und Abwehr der kritischen Windows-Sicherheitslücke CVE-2020-1472, auch bekannt als ZeroLogon. Die Schwachstelle ermöglicht es Angreifern, sich ohne Authentifizierung administrativen Zugriff zu verschaffen. Dies wurde im Rahmen eines Schulprojekts zur Cybersicherheit entwickelt. Der PoC-Code stammt von Tom Tervoort (Secura) und die Suricata-Regeln von Proofpoint Emerging Threats.

Schlüsselkomponenten:

• Testen der Anfälligkeit eines Domänencontrollers mit einem PoC-Skript
• Überwachung auf Indikatoren über Windows-Ereignisprotokolle
• Implementierung von Suricata IDS mit benutzerdefinierten Regeln
• Anwenden von Windows-Updates

Demonstrierte Erkennungstechniken

1. Schwachstellen-Testskript

• Python-Skript von Tom Tervoort (Secura)
• Nutzt die impacket-Bibliothek, um die Anfälligkeit eines Domänencontrollers über die Netlogon-Authentifizierungsumgehung zu testen

2. Windows-Ereignisprotokoll-Analyse

Achten Sie auf diese wichtigen Ereignisse:

• 4624: Erfolgreiche Anmeldung mit DC-Anmeldeinformationen
• 4672: Besondere Berechtigungen dem Angreifer zugewiesen (z. B. Administrator)
• 5805: Netlogon-Fehlerereignisse (Indikator für Ausnutzung)

3. Intrusion Detection mit Suricata

• Verwendet Suricata zur Analyse des Netzwerkverkehrs auf dem Domänencontroller
• Implementiert benutzerdefinierte Regeln aus dem Proofpoint Emerging Threats-Regelsatz
• Erkennt Sequenzen von Nullbytes, die häufig im ZeroLogon-Exploit verwendet werden

Anforderungen

Für die Nachstellung dieser Demonstration ist folgende Einrichtung erforderlich:

Angreifer-Maschine

• Virtual - VirtualBox (mit NATNetwork für VM-Netzwerk)
• Kali Linux (beliebige aktuelle Version)
• Testskript aus GitHub-Repository (auf Desktop gespeichert): ZeroLogon-Testskript von TomTervoortSecura

Ziel-Maschine

• VirtualBox (gleiche NATNetwork-Konfiguration mit aktiviertem Promiscuous-Modus)
• Windows Server 2019 Essentials (aktualisiert Sept. 2019)
  • Eine neue Domäne und DC erstellt (Server der Ziel-Maschine als DC)
• Suricata
• Microsoft C++ Redistributable
• Npcap
• Notepad++
• Regeldatei aus dem Proofpoint Emerging Threats-Regelrepository emerging-all.rules von Proofpoint

Konfigurationshinweis: Die Suricata-Konfiguration wurde mit Notepad++ geändert:

• HOME_NET wurde auf die IP-Adresse der Ziel-Maschine gesetzt
• Der Abschnitt rule-files wurde aktualisiert, um die Datei emerging-all.rules zu verwenden

Demonstration der Erkennungsansätze

Schritt 1: Computernamen und IP-Adresse der Ziel-Maschine ermitteln

1. Server-Manager öffnen.
2. Navigieren Sie zu Lokaler Server. Notieren Sie sich den Computernamen und die IP-Adresse, die unter Ethernet zu finden sind. In dieser Demonstration lautet der Computername FTB4-Victim-Win und die IP-Adresse 10.0.2.4

Schritt 2: Schwachstellen-Testskript starten

1. Öffnen Sie auf der Angreifer-Maschine das Terminal
2. Führen Sie das Python-Testskript mit dem Computernamen und der IP der Ziel-Maschine aus:

python /home/kali/Desktop/CVE-2020-1472-master/zerologon_tester.py <Ziel-Computername> <Ziel-IP>

3. Das Skript wird mit der Nachricht abgeschlossen, dass der Domänencontroller durch einen ZeroLogon-Angriff vollständig kompromittiert werden kann.

Schritt 3: Windows-Ereignisprotokoll analysieren

1. Öffnen Sie nun auf der Ziel-Maschine die Ereignisanzeige. Das Symbol befindet sich in der Taskleiste.
2. Navigieren Sie zu Windows-Protokolle, dann Sicherheit.
3. Wie unten gezeigt, gibt es zwei Sicherheitsereignisse im Zusammenhang mit dem ZeroLogon-Bypass: Ereignis 4672 und Ereignis 4624.

4. Gehen Sie zu System, ebenfalls unter Windows-Protokolle. Scrollen Sie nach unten, bis Sie das Ereignis mit der Ebene Fehler und der Quelle NETLOGON sehen. Wählen Sie es aus. Dies ist ein weiteres Ereignis im Zusammenhang mit dem ZeroLogon-Bypass.

5. Sie können die Ereignisanzeige schließen.

Schritt 4: Intrusion Detection mit Suricata

1. Öffnen Sie auf der Ziel-Maschine die Eingabeaufforderung als Administrator.
2. Führen Sie den folgenden Befehl aus, um Suricata zu starten:

cd C:\Program Files\Suricata\

3. Führen Sie den folgenden Befehl mit der entsprechenden IP-Adresse aus:

suricata -c suricata.yaml -i <Ziel-IP> -l log

4. Öffnen Sie den Datei-Explorer über das Symbol in der Taskleiste. Navigieren Sie zu C:\Program Files\Suricata\log
5. Geben Sie powershell in die Navigationsleiste ein und drücken Sie die Eingabetaste. Windows PowerShell wird gestartet.

6. Geben Sie in Windows PowerShell get-content .\fast.log -wait ein und drücken Sie die Eingabetaste. Ignorieren Sie alle vorherigen Protokolle, da sie von vorherigen Tests stammen, und scrollen Sie nach unten zum leeren Bereich.

7. Starten Sie auf der Angreifer-Maschine das Python-Testskript erneut.
8. Gehen Sie nun zurück zur Ziel-Maschine und notieren Sie die neuen generierten Warnungen. Diese Warnungen deuten auf einen Versuch oder eine Ausnutzung von ZeroLogon hin.

9. Sie können die Windows PowerShell- und Eingabeaufforderungsfenster schließen.
10. Öffnen Sie fast.txt. Die Protokolle werden in dieser Datei gespeichert.

Demonstration des Abwehransatzes

Die effektivste Abwehrmaßnahme für CVE-2020-1472 (ZeroLogon) ist die Installation der neuesten Windows-Sicherheitsupdates.

Schritte:

1. Öffnen Sie auf der Ziel-Maschine die Einstellungen-App.
2. Navigieren Sie zu Update und Sicherheit → Windows Update
3. Klicken Sie auf "Nach Updates suchen" und lassen Sie das System die neuesten Updates herunterladen und installieren.
4. Starten Sie die Maschine bei Bedarf neu.

Diese Updates wenden Microsofts Fix für die ZeroLogon-Sicherheitslücke an, indem sie die Verwendung sicherer Remoteprotokolle erzwingen und den Erzwingungsmodus standardmäßig auf Domänencontrollern aktivieren.

Hinweis zu Einschränkungen

Die in diesem Projekt demonstrierten Erkennungs- und Abwehransätze sind für Bildungszwecke in einer kontrollierten Laborumgebung konzipiert. Obwohl sie effektiv die Konzepte hinter CVE-2020-1472 (ZeroLogon) veranschaulichen, haben sie Einschränkungen und sind nicht vollständig für den Einsatz in realen Unternehmensumgebungen geeignet. Da es sich um ein Schulprojekt handelt, liegt der Fokus auf dem Lernen und Verstehen von Cybersicherheitstechniken und nicht auf der Implementierung produktionsreifer Lösungen.

Danksagungen

Besonderer Dank gilt

• Tom Tervoort (Secura) für das ursprüngliche ZeroLogon-Testskript
  https://github.com/SecuraBV/CVE-2020-1472
• Bandar Alanazi für die ZeroLogon-Erkennungsansätze über Windows-Ereignisprotokolle
  https://0xbandar.medium.com/detecting-the-cve-2020-1472-zerologon-attacks-6f6ec0730a9e
• Proofpoint Emerging Threats für ihre Suricata-Regeln zur Erkennung von ZeroLogon-Exploit-Versuchen
  https://rules.emergingthreats.net/open/
• Microsoft für die Dokumentation zu Update KB4601345 und die Anleitung zum Patchen von CVE-2020-1472
  https://support.microsoft.com/en-us/topic/february-9-2021-kb4601345-os-build-17763-1757-expired-c38b7b85-0d84-d979-1a29-e4ba97b82042

Referenzen

• CVE-2020-0796 Remote Code Execution POC
• Detecting the CVE-2020–1472 (Zerologon) attacks" by Bandar Alanazi
• Proofpoint Emerging Threats Rules
• February 9, 2021—KB4601345 (OS Build 17763.1757) - EXPIRED

Autor

@tdevworks

Haftungsausschluss

Dieses Repository wurde ausschließlich zu Bildungszwecken erstellt.

Alle gezeigten Tools, Skripte und Techniken dienen dazu, Schwachstellen in der Cybersicherheit in einer kontrollierten Laborumgebung zu verstehen. Versuchen Sie nicht, die bereitgestellten Materialien auf Systemen oder Netzwerken zu verwenden, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Berechtigung zum Testen haben.

Der Autor ist nicht verantwortlich für jeglichen Missbrauch der bereitgestellten Informationen.