Zerologon

Resumen

Un paquete de detección de Zeek para CVE-2020-1472, también conocido como Zerologon, que es una vulnerabilidad de escalada de privilegios con CVSS 10.0 contra el protocolo Netlogon para controladores de dominio de Windows Server.

Notificaciones

De forma predeterminada, se generan ambas notificaciones:

• Zerologon_Attempt indica que se realizó el número requerido de intentos de inicio de sesión en un breve período de tiempo.
• Zerologon_Password_Change indica lo anterior y que se produjo un cambio de contraseña exitoso.

Al establecer notice_on_exploit_only a T mediante redef en cluster.zeek, solo se generará la notificación Zerologon_Password_Change.

Uso y notas

• Probado en las versiones 3.3.0-dev.53-debug y 3.2.0 de Zeek, y en Corelight Sensor v19. Debería funcionar con Zeek 3.0 y versiones superiores.
• Este paquete se ejecutará tanto en entornos agrupados (clúster) como no agrupados.
• Desarrollado con los PCAP de ataque incluidos.

Referencias

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/