🛡 Módulo de Herramienta de Seguridad IA
CVE-2026-54121: Suplantación de Active Directory Certificate Services (Certighost)

Módulo Oficial de Auditoría de Seguridad para el Ecosistema de Herramientas de Seguridad IA

🌐 Demostración Web • 📚 Sitio Web del Proyecto • 💬 Chat de la Comunidad

Navegación del Sitio Web: Inicio • Actualizaciones • Descargas • Módulos

🧠 Descripción Conceptual

Este módulo proporciona capacidades de diagnóstico para CVE-2026-54121, denominada Certighost. La vulnerabilidad existe dentro de Active Directory Certificate Services (AD CS) durante la fase de validación de las inscripciones de certificados de cuentas de equipo.

Un atacante que posee credenciales de dominio estándar de bajo privilegio crea una nueva cuenta de equipo y envía una solicitud de certificado que contiene atributos manipulados cdc (listener IP controlado) y rmd (FQDN del DC objetivo). Cuando la Autoridad de Certificación (CA) se conecta de vuelta para validar la identidad de la máquina, listeners maliciosos de LDAP (puerto 389) y SMB/LSA (puerto 445) suplantan los atributos de identidad del Controlador de Dominio objetivo (sAMAccountName, SID, dNSHostName). Esto engaña a la CA para que emita un certificado auténtico de Controlador de Dominio, permitiendo el compromiso total del dominio mediante PKINIT.

🎯 Filosofía del Impacto Principal

"Autentícate como una máquina, escala a todo el dominio."
Certighost elude los permisos tradicionales de plantillas de AD CS envenenando el pipeline de resolución de identidad de la CA. La obtención de un certificado válido de Controlador de Dominio otorga autenticación PKINIT instantánea, produciendo tanto una caché de credenciales TGT (.ccache) como el hash NT del DC objetivo.

📊 Especificaciones de la Vulnerabilidad

🕸 Escenario de Ataque y Arquitectura

graph TD
    A[Low-Priv Domain User] -->|1. Create Computer Account| B[Domain Controller]
    A -->|2. Start Rogue SMB 445 / LDAP 389 Listeners| C[Attacker Machine]
    A -->|3. Submit Cert Request with cdc & rmd Attributes| D[Active Directory CA]
    D -->|4. CA Lookups Connect to Rogue Listeners| C
    C -->|5. Validate via Netlogon & Return Target DC Identity| D
    D -->|6. Issue Valid DC Certificate .pfx| A
    A -->|7. Perform PKINIT with DC Certificate| E[Full Domain Takeover / NT Hash Export]

🛡 Lista de Verificación de Mitigación

• 🟢 Aplicar Actualizaciones de Seguridad: Desplegar los parches oficiales de Microsoft que abordan CVE-2026-54121 en todos los servidores AD CS.
• 🟢 Restringir la Creación de Cuentas de Equipo: Establecer ms-DS-MachineAccountQuota en 0 para evitar que usuarios no administradores creen nuevos objetos de equipo.
• 🟡 Endurecimiento de AD CS: Deshabilitar plantillas de certificados vulnerables y asegurar que EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) esté desactivado a menos que sea explícitamente requerido.
• 🟡 Filtrado de Red: Bloquear el tráfico saliente de SMB (445) y LDAP (389) desde los servidores CA hacia estaciones de trabajo arbitrarias.

💻 Cómo Ejecutar este Módulo

⚠️ IMPORTANTE: Este módulo está diseñado para pruebas de diagnóstico seguras dentro del framework AI Security Tool. Ejecutar únicamente contra objetivos autorizados con privilegios administrativos elevados.

1️⃣ Instalar AI Security Tool

Para ejecutar los scripts de diagnóstico y monitoreo, instale el framework central AI Security Tool:

2️⃣ Instalar Dependencias y Ejecución

Instale las librerías de Python requeridas para listeners maliciosos de LDAP/SMB y manejo de certificados:

# Install python dependencies
sudo pip install --break-system-packages git+https://github.com/fortra/impacket.git cryptography pyasn1 asn1crypto pycryptodome dnspython

# Execute Certighost proof-of-concept (Requires root for ports 389/445)
sudo python3 certighost.py -d playground.local -u lowpriv -p 'Password1234' --dc-ip 192.168.1.10

🔍 Módulos de Auditoría de Seguridad y Repositorios PoC

Módulos de escaneo de vulnerabilidades, scripts PoC y repositorios de investigación mantenidos por nuestra comunidad:

⚖️ Licencia y Aviso Legal

🚨 Aviso Legal

Esta herramienta y análisis de seguridad se proporcionan estrictamente para auditoría de sistemas autorizada, investigación defensiva y compromisos de pruebas de penetración.
Ejecutar CVE-2026-54121 contra entornos de dominio sin el permiso expreso por escrito del propietario del sistema es ilegal. Los autores no asumen ninguna responsabilidad por el compromiso no autorizado del dominio, pérdida de datos o interrupciones del sistema.

🔄 Contribución y Comunidad

¡Damos la bienvenida a las contribuciones de la comunidad de investigación de seguridad! Áreas principales de contribución:

1. Integraciones de IA: Agregar nuevos proveedores de LLM y desarrollar agentes de seguridad especializados.
2. Herramientas de Seguridad: Desarrollar módulos de vulnerabilidad e integrar escáneres CLI.
3. Optimización: Mejorar la velocidad del analizador, la seguridad de ejecución y la lógica de caché.
4. Documentación: Escribir artículos de investigación, guías y traducciones localizadas.

🔗 Contacto y Soporte

• Sitio Web Oficial: ZeroDayEvil.com
• Análisis Técnico: Desglose en Gist por H0j3n
• Aviso de MSRC: Guía de CVE-2026-54121
• Administrador de Telegram: @ZeroDayEvil
• Chat de Telegram: @ZeroDyaTool_chat
• Canal de Telegram: @ZeroDyaTool_channel
• Patrocinar el Proyecto: Donaciones por PayPal
• Open Collective: opencollective.com/ZeroDayEvil

AI Security Tool — Reimaginando el flujo de trabajo en terminal y la automatización para profesionales de ciberseguridad.