CVE-2022-30216 は、Windows Server に対して任意のサーバーへの NTLM 認証を強制するために使用される手法です。この Zeek パッケージは、CVE-2022-30216 の試行および悪用に関する通知を発生させます。攻撃者は NTLM トークンを再利用してクライアント証明書を生成し、ドメインコントローラーにアクセスする Kerberos チケットを要求できます。
$ zkg install cve-2022-30216
既存の pcap に対して使用する:
$ zeek -Cr scripts/__load__.zeek your.pcap
このパッケージからは 2 つの通知を生成できます:
CVE_2022_30216_Detection::ExploitAttempt、およびCVE_2022_30216_Detection::ExploitSuccess1 つ目は攻撃が試みられたときに生成されますが、必ずしも成功したとは限りません。2 つ目は悪用の成功が検出された場合にのみ発生し、直ちに調査する必要があります。以下は、悪用に成功した通知の例です。
XXXXXXXXXX.XXXXXX CFLRIC3zaTU1loLGxh 192.168.56.104 53084 192.168.56.102 445 - - - tcp CVE_2022_30216_Detection::ExploitSuccess Successful CVE-2022-30216 exploit: 192.168.56.104 exploited 192.168.56.102 relaying to 192.168.56.105 - 192.168.56.104 192.168.56.102 445 - - Notice::ACTION_LOG (empty) 360XXXXXXXXXX.XXXXXX - - - - -
このパッケージは、以下のコマンドで zkg を使用してインストールできます:
$ zkg refresh
$ zkg install cve-2022-30216
私たちのテスト PCAP は、DetectionLab のインスタンス上で概念実証ペイロードを悪用して作成されました。このインスタンスは、デフォルトの Windows Server 2016 の代わりに、ドメインコントローラーと WEF マシンに Windows Server 2022 を使用するよう少し変更されています。