danmcinerney/icebreakerObtiene credenciales de Active Directory en texto plano si estás en la red interna pero fuera del entorno de AD.
Rompe el hielo con ese adorable entorno de Active Directory que tienes ahí. Cuando estás frío y solo mirando a una fiesta de Active Directory pero no posees ni una sola credencial de AD para unirte a la diversión, esta herramienta es para ti.
Automatiza secuencialmente 5 ataques de red internos contra Active Directory para proporcionarte credenciales en texto plano. Usa la opción --auto para adquirir automáticamente privilegios de administrador de dominio después de obtener un punto de apoyo.
Los siguientes ataques se realizan secuencialmente hasta el cuarto y quinto ataque, que se ejecutan en paralelo e indefinidamente.
Todos los hashes NetNTLMv2 capturados en las técnicas siguientes se descifran automáticamente con JohnTheRipper y una lista de contraseñas específica de AD de 1 millón de longitud.
rpcclient para encontrar hosts que acepten sesiones SMB nulasridenum para encontrar nombres de usuario válidos mediante RID cycling en hosts SMB nulostheHarvester para recopilar nombres de usuario adicionales potenciales desde un dominio de Internet especificadoP@ssw0rd y <temporada_actual><año>, por ejemplo, Spring2018smb-enum-sharesResponder.py para envenenar los protocolos de red de difusión/multidifusión de capa 2 (LLMNR, NBT-NS, mDNS) y capturar hashes NetNTLMv2ntlmrelayx.py y Responder.py para retransmitir hashes SMBsmb-security-modeicebreaker:P@ssword123456Invoke-PowerDump para hashes SAMmitm6 y ntlmrelayx.py para envenenar IPv6 DNS con el fin de capturar hashes de usuario NetNTLMv2Realizará los 5 ataques de red anteriores en orden. La fuerza bruta inversa y las subidas de archivos SCF suelen ser bastante rápidas, luego permanece en el ataque 3, Responder.py, durante 10 minutos por defecto. Después de ese tiempo, o del tiempo especificado por el usuario, pasará a los dos últimos ataques que se ejecutan en paralelo e indefinidamente.
Si se descubre algún host que permita sesiones SMB nulas, icebreaker utilizará ridenum para realizar RID cycling en busca de nombres de usuario válidos. Si usas la opción -d <somedomain.com>, theHarvester extraerá cualquier dirección de correo electrónico del sitio web especificado. Cualquier nombre de usuario de correo electrónico compatible con AD se agregará a la lista de nombres de usuario de fuerza bruta inversa. Icebreaker utiliza la librería asyncio para realizar la fuerza bruta inversa utilizando la herramienta linux rpcclient con 10 workers asíncronos.
El ataque de subida SCF abusa de los archivos Shell Command contra recursos compartidos de red anónimamente escribibles. Los SCF son archivos que pueden realizar acciones básicas como mostrar el escritorio o abrir una ventana del Explorador de archivos. Tienen la curiosa propiedad de permitirte establecer el icono de archivo a una ruta de red. Si estableces esta ruta de red a tu propia máquina, los usuarios que abran el recurso compartido en el Explorador de archivos te enviarán automáticamente su hash de contraseña NetNTLMv2. Icebreaker utiliza el script Nmap smb-enum-shares para encontrar recursos compartidos anónimamente escribibles, luego genera y sube automáticamente el SCF con la carga útil.
El ataque 3 utiliza Responder.py para envenenar protocolos de multidifusión/difusión LLMNR, NBT-NS y mDNS. Cuando los usuarios navegan a una ruta de red inexistente, Responder les dirá que tu máquina atacante es la ruta correcta. El hash de contraseña NetNTLMv2 del usuario ahora es tuyo. Responder capturará los hashes enviados mediante el ataque SCF, pero el siguiente ataque generalmente es más útil para capturar hashes SCF porque tiene el potencial de usar el hash para ejecución de comandos.
El relé SMB es un ataque de red antiguo donde los atacantes se colocan entre el cliente SMB y el servidor SMB. Esto permite a los atacantes capturar y retransmitir hashes NetNTLMv2 a hosts que tienen SMBv1 habilitado y la firma SMB deshabilitada. ntlmrelayx.py de la librería Impacket se utiliza para retransmitir mientras que Responder.py se utiliza para realizar un hombre en el medio de las conexiones SMB. Si el usuario del cliente SMB tiene derechos administrativos en algún host de la red que tenga la firma SMB deshabilitada, ntlmrelayx.py realizará la ejecución de comandos en ese host.
Una vez que ntlmrelayx retransmite un hash capturado, ejecutará un comando de powershell codificado en base64 que primero agrega un usuario administrativo (icebreaker:P@ssword123456) luego ejecuta una versión ofuscada y de omisión de AMSI de Mimikatz, seguida de una versión ofuscada y de omisión de AMSI de Invoke-PowerDump. La salida de Invoke-Mimikatz e Invoke-PowerDump se analiza en busca de contraseñas en texto plano o hashes NTLM y se entrega al usuario en la salida estándar, así como en el archivo found-passwords.txt. Los hashes NTLM, a diferencia de los hashes NetNTLMv2, se pueden usar igual que una contraseña en texto plano para autenticación en otros hosts AD. El único inconveniente es que desde el parche KB2871997 de Microsoft, solo la cuenta de administrador local integrada RID 500 se puede usar en ataques pass-the-hash.