ResetNightmare

Strumento proof-of-concept (POC) per ResetNightmare (CVE-2026-27912).

ResetNightmare è una falla di validazione nel protocollo Kerberos Change Password che consente di reimpostare la password di qualsiasi account utente/computer, senza conoscerne quella attuale. L'attacco richiede un controller di dominio non aggiornato e la possibilità di scrivere un userPrincipalName (UPN) su qualsiasi account che controlli. In alternativa, la vulnerabilità può anche essere sfruttata da un attaccante che ha la possibilità di creare nuovi utenti/computer in qualsiasi OU, poiché la creazione di un utente/computer consente di ottenere permessi GenericWrite su di esso.

Flusso dell'attacco

Questo script automatizza l'intero flusso di attacco e si ripulisce da solo. Il flusso dell'attacco è il seguente:

1. L'attaccante ha un utente o computer su cui può scrivere un UPN. Questo può essere fornito o creato usando -CreateNewPath.
2. L'attaccante imposta l'UPN dell'account che controlla sul sAMAccountName del target, ad esempio "Administrator".
3. L'attaccante può quindi richiedere un TGT per il nome utente "Administrator", con un name type di NT-ENTERPRISE. Questo TGT verrà richiesto allo SPN kadmin/changepw.
4. L'attaccante cancella il proprio UPN, lasciando solo il target con un UPN che risolve a sé stesso.
5. L'attaccante usa quindi il TGT in suo possesso per reimpostare la password dell'utente "Administrator", senza mai conoscere il valore precedente.
6. Se l'attacco riesce, la password del target è stata cambiata e l'attaccante può ora autenticarsi con le nuove credenziali.

È possibile prendere di mira sia account utente che account computer.

Requisiti

• Windows con PowerShell.
• Il modulo PowerShell ActiveDirectory.
• Lo script usa Rubeus.exe, testato con Rubeus compilato con .NET Framework 4.6.2. Posizionalo nella directory corrente, oppure indica il percorso con -RubeusPath.
• Uno tra:
  • Un account di dominio che controlli e su cui puoi scrivere un UPN.
  • Il permesso di creare account in una OU/Container (specificato con -CreateNewPath).
• Un DC non aggiornato da prendere di mira. Può essere specificato con -DC.

Utilizzo

Esegui il dot-source dello script per caricare la funzione, quindi chiamala:

. .\ResetNightmare.ps1

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

Prendere di mira un account computer

Usa il sAMAccountName (terminante con $) per -TargetAccount:

Invoke-ResetNightmare `
    -TargetAccount 'server$' `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

Creare un nuovo account controllato

Se hai il permesso di creare oggetti in una OU/Container, puoi specificare il DN della OU/Container usando -CreateNewPath. Quando viene specificato, -UPNUser e -UPNUserPassword vengono trattati come le credenziali dell'account da creare, invece di quelle di un account esistente nel dominio:

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "attackerAcct" `
    -UPNUserPassword "AttackerP@ss!" `
    -CreateNewPath "OU=Temp,DC=demo,DC=lab"

Aggiungi -Computer per creare/usare un account computer invece di un account utente.

Parametri

DICHIARAZIONE DI NON RESPONSABILITÀ
Questo contenuto è fornito solo a scopo educativo e informativo. È inteso a promuovere la consapevolezza e la corretta mitigazione delle vulnerabilità di sicurezza che possono esistere sui sistemi di tua proprietà o che sei autorizzato a testare. L'uso non autorizzato di queste informazioni per scopi dannosi, sfruttamento o accesso illegale è strettamente proibito. Gli autori non approvano né tollerano alcuna attività illegale e declinano ogni responsabilità derivante dall'uso improprio del materiale. Inoltre, gli autori non garantiscono l'accuratezza o la completezza del contenuto e non si assumono alcuna responsabilità per danni derivanti dal suo utilizzo.