2021年6月8日   MicrosoftがPatch Tuesdayで初期パッチを公開 — CVE-2021-1675 (LPE, CVSS 7.8)
2021年6月21日  MicrosoftがRCE (CVSS 8.8) として再分類
2021年6月29日  研究者が誤ってPoCを公開 — 既にパッチ済みの同じ脆弱性と誤認
2021年7月1日   CVE-2021-34527 がRCEベクターに割り当て — 元のLPEとは別
2021年7月2日   Microsoftが緊急の帯域外パッチを公開: KB5004945
2021年7月      CISAが既知の悪用された脆弱性カタログに追加
               ランサムウェアグループ（Vice Society、Magniberなど）による活発な悪用

┌──────────────────────────────────────────────────────────────────────────┐
│              PRINTNIGHTMARE — 攻撃フロー                                 │
│                                                                          │
│  攻撃者 (認証済みユーザー)                WINDOWS PRINT SPOOLER           │
│                                                  (spoolsv.exe)          │
│  1. 任意の有効なドメインアカウントで        ┌────────────────────────────┐   │
│     認証                                  │  SYSTEMとして実行           │
│                    │                      │  全Windowsでデフォルト有効  │   │
│  2. named pipe \pipe\spoolss 経由で        │  DCを含む                  │   │
│     RPC接続                               └──────────────┬─────────────┘   │
│                    │                                   │                 │
│  3. RpcAddPrinterDriverEx() を呼び出し                  │                 │
│     悪意のあるDLLへのパスを指定 ──────────────────────►│                 │
│     (UNC: \\attacker\share\evil.dll)                   │                 │
│                                           ┌────────────▼────────────┐   │
│                                           │ Print Spoolerがドライバー│   │
│                                           │ (DLL) をSYSTEMとして     │   │
│                                           │ 読み込み。発信元や整合性 │   │
│                                           │ を検証しない             │   │
│                                           └────────────┬────────────┘   │
│                                                        │                 │
│  ◄── SYSTEMとしてのRCE / LPE ──────────────────────────┘                 │
│       新しい管理者ユーザー、リバースシェル、                               │
│       ランサムウェア展開など                                              │
│                                                                          │
│  ─────────────────────────────────────────────────────────────────────  │
│  このPoC: TCP接続 + 25バイトのみ → 実際のRPCなし → エクスプロイトなし     │
└──────────────────────────────────────────────────────────────────────────┘

fake_rpc_payload = b"\x05\x00\x0b\x03RpcAddPrinterDriverEx"

- max_xmit_frag     (2バイト)
- max_recv_frag     (2バイト)
- assoc_group_id    (4バイト)
- num_ctx_items     (1バイト)
- context_elem[]    → MS-RPRNのインターフェースUUID:
                      {12345678-1234-ABCD-EF00-0123456789AB}
- transfer_syntaxes → NDR UUID

sock.connect((target_ip, 445))

1. TCP接続 → ポート445 (SMB)
2. SMBネゴシエーション + セッションセットアップ (NTLM/Kerberos認証)
3. Tree connect → IPC$
4. Named pipeオープン → \pipe\spoolss
5. DCE/RPC BIND → MS-RPRNインターフェース
6. NDRマーシャリングによる RpcAddPrinterDriverEx() 呼び出し

tactic: Initial Access / Lateral Movement
  - T1210    # Exploitation of Remote Services
             # \pipe\spoolss 経由のRPC呼び出しでリモートホストへ
             # 有効なドメイン資格情報が必要

tactic: Privilege Escalation
  - T1068    # Exploitation for Privilege Escalation
             # Print Spooler経由で一般ユーザー → SYSTEM
             # CVE-2021-1675 (LPE): ローカルプロセスがSYSTEMに昇格

tactic: Execution
  - T1569.002  # System Services: Service Execution
               # spoolsv.exe がSYSTEMとして悪意のあるDLLを読み込む
               # Windowsサービスのコード実行に相当

  - T1055      # Process Injection
               # spoolsv.exe (SYSTEM) プロセスのコンテキストにDLLが注入される

tactic: Persistence
  - T1547.012  # Boot or Logon Autostart: Print Processors
               # 登録されたドライバーが再起動後も持続
               # 保存場所: HKLM\SYSTEM\CurrentControlSet\Control\Print\

tactic: Defense Evasion
  - T1036.005  # Masquerading: Match Legitimate Name or Location
               # 悪意のあるDLLが正規ドライバー名を装う (例: Canon_XP.dll)

# イベントID 808 — Print Spoolerが疑わしいDLLの読み込みに失敗
# ソース: Microsoft-Windows-PrintService/Admin

条件:
  EventID: 808
  Log: Microsoft-Windows-PrintService/Admin
  Level: Error
  Description CONTAINS: "failed to load a plug-in module"

実際の証拠 (実環境で観測):
  "The print spooler failed to load a plug-in module
   C:\Windows\system32\spool\DRIVERS\x64\3\svch0st.dll"
  # svchost.dll のタイポスクワッティング → 悪意のあるDLL

# イベントID 316 — RpcAddPrinterDriverEx経由でドライバーがインストールされた
# ソース: Microsoft-Windows-PrintService/Admin

条件:
  EventID: 316
  Log: Microsoft-Windows-PrintService/Admin
  Message CONTAINS: "RpcAddPrinterDriverEx"
  OR
  Message CONTAINS: "\\\\*\\*"   # UNCパス → リモートDLL

# Print Spoolerの疑わしい子プロセス
EventID: 1 (Process Creation)
条件:
  ParentImage: C:\Windows\System32\spoolsv.exe
  Image: cmd.exe OR powershell.exe OR wscript.exe OR mshta.exe
重大度: 重大 — spoolsv はシェルを生成すべきではない

# 非標準パスから読み込まれたDLL
EventID: 7 (Image Loaded)
条件:
  Image: C:\Windows\System32\spoolsv.exe
  ImageLoaded NOT STARTS WITH:
    - C:\Windows\System32\spool\DRIVERS\
    - C:\Windows\System32\
    - C:\Windows\SysWOW64\
重大度: 高

# 概念的なZeek / Suricataルール:
alert smb any any -> $SERVERS 445 (
  msg:"PrintNightmare RpcAddPrinterDriverEx via SMB";
  content:"|5c 70 69 70 65 5c 73 70 6f 6f 6c 73 73|";  # \pipe\spoolss
  content:"RpcAddPrinterDriverEx";
  sid:2021001675;
)

オプション1 — Print Spoolerを無効化 (印刷が不要な場合)
  PowerShell:
    Stop-Service -Name Spooler -Force
    Set-Service -Name Spooler -StartupType Disabled

オプション2 — グループポリシーでリモート印刷をブロック
  コンピューターの構成 → 管理用テンプレート → プリンター
  → 「Print Spoolerがクライアント接続を受け入れることを許可する」: 無効
  これによりリモートベクターのみが無効化され、ローカル印刷は維持される

オプション3 — パッチを適用 (上記オプションに関わらず必須)
  KB5004945 → 2021年7月の帯域外パッチ
  + その後の累積パッチ

パッチ適用後の検証 — レジストリにより依然として脆弱な場合がある:
  REG QUERY "HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"
  NoWarningNoElevationOnInstall=1 または UpdatePromptSettings=0 の場合 → 依然として脆弱
  修正: 両方の値を0に設定するか、キーを削除する

特別な優先事項: ドメインコントローラー
  DCはデフォルトでPrint Spoolerを実行
  PrintNightmare経由でDCを侵害 = ADドメイン全体の完全な侵害

# 依存関係のインストール (socketは標準ライブラリ)
python --version  # Python 3.x、pipは不要

# スクリプト内のターゲットIPを編集 (許可されたラボのみ)
# simulate_printnightmare_attack("192.168.1.xxx")

python poc_cve_2021_1675.py

# ポート445がアクセス可能な場合の期待される出力:
[+] Payload enviado para 192.168.1.117

# ポートが閉じている/フィルタリングされている場合の期待される出力:
[-] Erro ao conectar: [Errno 111] Connection refused
# または
[-] Erro ao conectar: timed out

[+] DCでデフォルト有効のPrint Spoolerが最も重大なシナリオ — DCでのSYSTEM = ゲームオーバー
[+] RPCトランスポートとしてのSMB named pipeは、境界重視の防御で過小評価されているベクター
[+] DCE/RPCは複雑なプロトコル — bind/call構造の理解がシグネチャ作成に役立つ
[+] CVE公開 ≠ パッチ適用 — パッチ後も数週間、ほとんどの環境は依然として脆弱だった
[+] PointAndPrintレジストリキーはパッチ適用後も脆弱性を再導入する可能性がある — パッチ後の管理が重要
[-] このPoCはTCP接続性のみを検証 — システムが実際にパッチ済みかどうかは検証しない
[-] SMBなしの純粋なソケットでは認証をネゴシエートできない — アプローチの根本的な制限
[-] settimeout(5) は低速ネットワークで誤検知を引き起こす可能性がある — パラメータ化可能なタイムアウトを検討
[→] 改善点: 実際のRPCにimpacketを使用、OSバージョンのフィンガープリント用にSMBバナーを確認、
    リモートレジストリクエストで適用済みKBをテスト