Zerologon

Riepilogo

Un pacchetto di rilevamento Zeek per CVE-2020-1472, nota anche come Zerologon, una vulnerabilità di escalation dei privilegi con punteggio CVSS 10.0 contro il protocollo Netlogon dei controller di dominio Windows Server.

Notifiche

Per impostazione predefinita, vengono generate entrambe le notifiche:

• Zerologon_Attempt indica che è stato effettuato il numero richiesto di tentativi di accesso in un breve periodo di tempo.
• Zerologon_Password_Change indica quanto sopra e che è avvenuto un cambio password riuscito.

Impostando notice_on_exploit_only a T tramite redef in cluster.zeek, verrà generata solo la notifica Zerologon_Password_Change.

Utilizzo e Note

• Testato sulle versioni di Zeek 3.3.0-dev.53-debug e 3.2.0, e su Corelight Sensor v19. Dovrebbe funzionare con Zeek 3.0 e versioni successive.
• Questo pacchetto funziona sia in ambienti clusterizzati che non clusterizzati.
• Sviluppato sulla base dei PCAP di attacco inclusi.

Riferimenti

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/