Zerologon

Résumé

Un paquet de détection Zeek pour CVE-2020-1472, également connu sous le nom de Zerologon, qui est une vulnérabilité d'élévation de privilèges avec un score CVSS de 10,0 concernant le protocole Netlogon des contrôleurs de domaine Windows Server.

Notifications

Par défaut, les deux notifications sont déclenchées :

• Zerologon_Attempt indique que le nombre requis de tentatives de connexion a été effectué dans un court laps de temps.
• Zerologon_Password_Change indique ce qui précède, et qu'un changement de mot de passe réussi a eu lieu.

En définissant notice_on_exploit_only à T via redef dans cluster.zeek, seule la notification Zerologon_Password_Change sera générée.

Utilisation et remarques

• Testé sur les versions de Zeek 3.3.0-dev.53-debug et 3.2.0, ainsi que sur Corelight Sensor v19. Il devrait fonctionner avec Zeek 3.0 et supérieur.
• Ce paquet fonctionnera aussi bien dans les environnements en cluster que dans les environnements sans cluster.
• Développé à partir des PCAP d'attaque incluses.

Références

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/