corelight/petitpotam-notestZeek 패키지로, 암호화되지 않은 SMB를 통한 EFS DCERPC를 이용한 PetitPotam NTLM 릴레이 공격을 탐지하며, 성공 및 실패한 익스플로잇 시도를 구분합니다.
Petit Potam 익스플로잇을 통해 NTLM 릴레이 공격을 트리거하려는 일부 시도를 탐지하는 Zeek 패키지입니다. 이 패키지는 성공한 것으로 보이는 익스플로잇 시도와 실패한 것으로 보이는 시도를 탐지합니다. EFS DCERPC 함수 호출의 반환 코드를 검사하여 두 시도를 구분합니다.
참고: 이 패키지는 암호화되지 않은 SMB를 통해 전송되는 익스플로잇 시도만 탐지합니다. DCERPC 암호화된 SMB를 통한 호출은 탐지되지 않습니다. 이러한 경우 진행 중인 성공적인 NTLM 릴레이 공격의 징후가 있는지 ntlm.log 출력을 살펴보는 것이 때때로 가능합니다.
이 패키지를 설치하는 가장 쉬운 방법은 zkg를 사용하는 것입니다:
zkg install corelight/petitpotam
./testing/Traces/UnPatchedDCOpenFileRaw.pcapng를 사용하면 함께 따라할 수 있습니다.
% zeek -Cr ./testing/Traces/UnPatchedDCOpenFileRaw.pcapng ./scripts/main.zeek
% cat ./notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-09-08-09-40-22
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1630594391.099325 CyNNkV2Rl7jrlWadG7 192.168.0.15 33524 192.168.0.85 445 - - - tcp PetitPotam::PetitPotam Successful PetitPotam NTLM relay attack: efsrpc2 EfsRpcOpenFileRaw() - 192.168.0.15 192.168.0.85 445 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2021-09-08-09-40-22
% cat ./dce_rpc.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path dce_rpc
#open 2021-09-08-09-40-22
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p rtt named_pipe endpoint operation
#types time string addr port addr port interval string string string
1630594365.186353 Cdyntb1vGsZnt6aus7 192.168.0.85 57206 192.168.0.80 49677 0.001003 49677 drsuapi DRSUnbind
1630594365.187814 Cdyntb1vGsZnt6aus7 192.168.0.85 57206 192.168.0.80 49677 0.000819 49677 drsuapi DRSUnbind
1630594390.076173 CyNNkV2Rl7jrlWadG7 192.168.0.15 33524 192.168.0.85 445 1.023152 \\pipe\\lsass efsrpc2 EfsRpcOpenFileRaw
1630594416.810307 CDjrA835p6W6vhm4sg 192.168.0.85 57210 192.168.0.80 49677 0.001444 49677 drsuapi DRSGetNCChanges
#close 2021-09-08-09-40-22
Copyright (c) 2021, Corelight, Inc. 모든 권리 보유.
소스 및 바이너리 형태로의 재배포 및 사용은, 수정 여부와 관계없이 다음 조건이 충족되는 경우 허용됩니다:
(1) 소스 코드의 재배포는 위 저작권 고지, 이 조건 목록 및 다음 면책 조항을 유지해야 합니다.
(2) 바이너리 형태로의 재배포는 위 저작권 고지, 이 조건 목록 및 다음 면책 조항을 배포와 함께 제공되는 문서 및/또는 기타 자료에 포함하여 복제해야 합니다.
(3) Broala, Inc.의 이름이나 기여자의 이름은 사전 서면 허가 없이 이 소프트웨어에서 파생된 제품을 보증하거나 홍보하는 데 사용할 수 없습니다.
본 소프트웨어는 저작권 보유자 및 기여자에 의해 "있는 그대로" 제공되며, 모든 명시적 또는 묵시적 보증, 특히 상품성 및 특정 목적에의 적합성에 대한 묵시적 보증은 부인됩니다. 어떠한 경우에도 저작권 소유자 또는 기여자는 직접, 간접, 우발, 특별, 예시적 또는 결과적 손해 (대체 상품 또는 서비스의 조달, 사용, 데이터 또는 이익의 손실, 또는 업무 중단을 포함하되 이에 국한되지 않음)에 대해 책임을 지지 않습니다. 이러한 손해는 계약, 엄격 책임 또는 불법 행위(과실 또는 기타)에 기인한 것이든, 이 소프트웨어의 사용으로 인해 발생한 것이든, 그러한 손해의 가능성을 통보받은 경우에도 동일하게 적용됩니다.