CVE-2022-1257 PoC: Recolección de credenciales de la base de datos del agente McAfee

Creado por scottk817

Este script es un PoC para CVE-2022-1257, una vulnerabilidad en el agente McAfee (agente Trellix) al trabajar con su base de datos. La vulnerabilidad permite a los atacantes recuperar y descifrar credenciales del archivo de base de datos del agente McAfee (ma.db) debido a un manejo incorrecto de la clave de cifrado.

Descargo de responsabilidad

Este script está destinado únicamente a fines educativos. No lo use en sistemas que no posea o para los que no tenga permiso explícito de prueba. El acceso no autorizado a sistemas y datos es ilegal y poco ético.

Descripción

CVE-2022-1257 según lo describe NIST:

Vulnerabilidad de almacenamiento inseguro de información sensible en MA para Linux, macOS y Windows anterior a 5.7.6 permite que un usuario local obtenga acceso a información sensible a través del almacenamiento en ma.db. La información sensible se ha movido a archivos de base de datos cifrados.

Este script demuestra cómo un atacante podría explotar esta vulnerabilidad al:

1. Copiar el archivo ma.db a una ubicación temporal para evitar contención de bloqueos.
2. Extraer los nombres de usuario y contraseñas cifradas almacenadas en la base de datos.
3. Decodificar las contraseñas extraídas y luego descifrarlas utilizando descifrado XOR y 3DES.
4. Generar los resultados en formato CSV para su uso posterior.

Requisitos previos

• Sistema operativo Windows (Windows 11)
• PowerShell 5.1 o posterior
• winsqlite3.dll: Este archivo DLL debe estar disponible para operaciones SQLite, viene de forma nativa en Windows 11.

Instalación

1. Clone o descargue el repositorio.
2. Asegúrese de que winsqlite3.dll esté disponible en su sistema, viene de forma nativa con Windows 11.
3. Asegúrese de tener acceso a PowerShell.
4. Asegúrese de tener acceso a la base de datos del agente McAfee (ma.db). Normalmente se encuentra en C:\ProgramData\McAfee\Agent\DB\ma.db.

Uso

Ejecute el script en PowerShell con el siguiente comando:

.\CVE-2022-1257.ps1

El script generará los nombres de usuario y las contraseñas descifradas de la base de datos en formato CSV:

Username,Password
user1,password1
user2,password2

Si está utilizando esto en una evaluación, puede ser valioso sanitizar el script y ofuscar con Invoke-Obfuscate

Referencias

• CVE-2022-1257
• Herramienta de descifrado de contraseñas de lista de sitios de McAfee
• Abusando de vulnerabilidades y configuraciones incorrectas de McAfee
• TryHackMe: Breaching Active Directory (Aquí fue donde aprendí por primera vez sobre esta vulnerabilidad)

Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulte el archivo LICENSE para más detalles.