---

Document Type: Detection Use Case Related CVE: CVE-2026-54121 (Certighost) Author: Youssef Benchater

Detection Use Case: Certighost (CVE-2026-54121)

यह दस्तावेज़ CVE-2026-54121 के लिए बनाए गए Splunk डिटेक्शन का वर्णन करता है। यह मानक detection use case प्रारूप का पालन करता है ताकि इसे किसी detection catalog में उसी तरह रखा जा सके जैसे एक वास्तविक detection engineering टीम इसे बनाए रखती है।

विषय-सूची

अवलोकन

• Detection ID / Name
• उद्देश्य
• MITRE ATT&CK Mapping

Detection Build

• आवश्यक लॉग स्रोत
• Detection Logic
• Findings और Design Notes
• Trigger Conditions
• Severity

Response और Validation

• Response / Triage Steps
• Testing Evidence
• संबंधित डैशबोर्ड

Roadmap

• Planned Detection Chain
• भविष्य के सुधार

Metadata

• Owner
• Last Reviewed / Version
• संदर्भ

---

Detection ID / Name

Alert : Certighost ( CVE-2026-54121 )

---

उद्देश्य

CVE-2026-54121 में वर्णित AD CS प्रमाणपत्र नामांकन chase तंत्र के दुरुपयोग का पता लगाता है। यह नियम CA पर उन प्रमाणपत्र जीवनचक्र घटनाओं को चिह्नित करता है जहाँ अनुरोधकर्ता द्वारा प्रदान किया गया chase target (अर्थात् cdc attribute) वैध Domain Controller पर रिज़ॉल्व नहीं होता, जो ठीक वही तंत्र है जिसका उपयोग Certighost CA को यह करने के लिए प्रेरित करने में करता है कि वह कम विशेषाधिकार वाले अनुरोधकर्ता को Domain Controller पहचान डेटा वाला प्रमाणपत्र जारी करे, जिसके परिणामस्वरूप पूर्ण डोमेन समझौता और अधिग्रहण होता है।

यह डिटेक्शन मशीन खाता निर्माण के बजाय cdc chase target पर आधारित है, क्योंकि CVE-2026-54121 के लिए Microsoft की सलाह खाता पूर्व-शर्त के रूप में या तो डिफ़ॉल्ट ms-DS-MachineAccountQuota मान या ऐसा खाता सूचीबद्ध करती है जिसे हमलावर पहले से नियंत्रित करता है। खाता निर्माण पर आधारित नियम दूसरे मार्ग को पूरी तरह से चूक जाएगा, और यह इस पर भी निर्भर होगा कि खाता निर्माण और शोषण एक ही समय-अवधि में हों। cdc जाँच दोनों मार्गों को कवर करती है और इसमें ऐसी कोई निर्भरता नहीं है।

---

MITRE ATT&CK Mapping

यह नियम हमला श्रृंखला के प्रमाणपत्र अनुरोध और जारीकरण चरण को कवर करता है।

रणनीति	तकनीक (ID)	प्रमाण
विशेषाधिकार उन्नयन	Abuse Elevation Control Mechanism (T1548)	निम्न-विशेषाधिकार वाला डोमेन उपयोगकर्ता जाली AD CS प्रमाणपत्र के माध्यम से Domain Controller विशेषाधिकारों तक उन्नत होता है
क्रेडेंशियल एक्सेस	Steal or Forge Authentication Certificates (T1649)	Certighost का मूल - DC पहचान सामग्री वाला प्रमाणपत्र प्राप्त करने के लिए उपयोग किए गए cdc/rmd विशेषताएँ
क्रेडेंशियल एक्सेस	OS Credential Dumping: DCSync (T1003.006)	MS-DRSR प्रतिकृति करने के लिए उपयोग किया गया DC खाते का TGT - krbtgt और सभी खाता हैश निकालता है
क्रेडेंशियल एक्सेस	Golden Ticket (T1558.001)	krbtgt हैश के साथ, हमलावर अनिश्चित काल तक Kerberos TGT जाली बनाता है, पासवर्ड रीसेट से बचता है
रक्षा चकमा	Use Alternate Authentication Material: Pass-the-Ticket (T1550.003)	प्रमाणपत्र-आधारित TGT का उपयोग DC के रूप में प्रमाणित करने के लिए किया जाता है, फिर उस TGT के साथ DCSync किया जाता है
दृढ़ता	Create Account: Local Account (T1136.001)	रोगी LDAP एंडपॉइंट को प्रमाणित करने के लिए ms-DS-MachineAccountQuota के माध्यम से बनाया गया मशीन खाता
पार्श्व गति	Use Alternate Authentication Material (T1550)	DC प्रमाणपत्र Domain Controller खाते के बराबर पूर्ण नेटवर्क पहुँच प्रदान करता है
खोज	Domain Account (T1087.002)	प्रारंभिक LDAP गणना CA, DC, डोमेन SID, GUID, और MAQ मान की खोज करती है

---

आवश्यक लॉग स्रोत

• इंडेक्स: wineventlog-lab
• स्रोत प्रकार: WinEventLog
• लॉग स्रोत: WinEventLog:Security
• होस्ट: DC01
• Windows इवेंट कोड जिन्हें इस नियम की खोज सीधे क्वेरी करती है:
  • 4886 (प्रमाणपत्र अनुरोध प्राप्त हुआ)
  • 4887 (प्रमाणपत्र जारी किया गया)
  • 4888 (प्रमाणपत्र अनुरोध अस्वीकृत)

---

पहचान तर्क

index=wineventlog-lab sourcetype=WinEventLog source="WinEventLog:Security"
  (EventCode=4886 OR EventCode=4887 OR EventCode=4888) cdc
  
| fields _time EventCode Request_ID Requester Attributes Subject host Message
| rex field=Message "(?m)^cdc:(?<chase_cdc>\S+)"
| where isnotnull(chase_cdc) AND lower(chase_cdc)!="dc01.atlasvec.lab"
| stats min(_time) as _time
        values(Requester)  as requester
        values(Attributes) as template
        values(chase_cdc)  as chase_target
        values(Subject)    as cert_subject
        values(EventCode)  as codes
        values(host)       as ca_host
  by Request_ID
  
| eval status   = case(mvfind(codes,"4887")>=0,"ISSUED",
                       mvfind(codes,"4888")>=0,"DENIED",
                       true(),"PENDING")

| eval severity = "critical"
| sort - _time
| rename ca_host as "CA Host", Request_ID as "Request ID",
         requester as "User Requester", template as "Certificate Template",
         chase_target as "Chase Target (cdc)", cert_subject as "Issued Subject",
         status as "Outcome", severity as "Severity",
         _time as "Timestamp"
| table "Timestamp" "CA Host" "Request ID" "User Requester" "Certificate Template" "Chase Target (cdc)" "Issued Subject" "Outcome" "Severity"

---

निष्कर्ष और डिज़ाइन नोट्स

• इवेंट्स को Request ID द्वारा समूहीकृत किया गया है ताकि एक दुर्भावनापूर्ण अनुरोध के पूरे जीवनचक्र (received, फिर issued या denied) को एक ही पंक्ति में दिखाया जा सके।

• इस डिटेक्शन के प्रारंभिक संस्करण में Event ID 4741 (कंप्यूटर खाता बनाया गया) को पूर्व-शर्त के रूप में शामिल किया गया था, जो सार्वजनिक प्रूफ़ ऑफ़ कॉन्सेप्ट पर आधारित था, जो हमले की श्रृंखला के हिस्से के रूप में खाता निर्माण को प्रदर्शित करता है। हालाँकि, CVE-2026-54121 के लिए Microsoft की सलाह में मशीन खाता पूर्व-शर्त को या तो डिफ़ॉल्ट ms-DS-MachineAccountQuota मान या हमलावर द्वारा पहले से नियंत्रित मशीन खाता के रूप में सूचीबद्ध किया गया है।

  दूसरा मार्ग अपनाने वाला हमलावर उस मशीन खाते का उपयोग करता है जिसे वह पहले से नियंत्रित करता है और कोई 4741 इवेंट उत्पन्न नहीं करता। नियम को केवल cdc चेज़ टारगेट पर आधारित करने के लिए अपडेट किया गया, जो डिज़ाइन के अनुसार दोनों शोषण मार्गों को कवर करता है।