corelight/petitpotam
Petit Potam 익스플로잇을 통해 NTLM 릴레이 공격을 트리거하는 일부 시도를 탐지하기 위한 Zeek 패키지입니다. 이 패키지는 성공 및 실패한 익스플로잇 시도로 보이는 것을 탐지합니다. EFS DCERPC 함수 호출의 반환 코드를 검사하여 이를 구분합니다.
참고: 이 패키지는 암호화되지 않은 SMB를 통해 전송되는 익스플로잇 시도만 탐지합니다. DCERPC 암호화된 SMB를 통한 호출은 탐지되지 않습니다. 이러한 경우 때때로 ntlm.log 출력에서 진행 중인 성공적인 NTLM 릴레이 공격의 징후를 검사할 수 있습니다.
이 패키지를 설치하는 가장 쉬운 방법은 zkg를 사용하는 것입니다:
zkg install corelight/petitpotam
./testing/Traces/UnPatchedDCOpenFileRaw.pcapng을 사용하고 함께 진행할 수 있습니다
% zeek -Cr ./testing/Traces/UnPatchedDCOpenFileRaw.pcapng ./scripts/main.zeek
% cat ./notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-09-08-09-40-22
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1630594391.099325 CyNNkV2Rl7jrlWadG7 192.168.0.15 33524 192.168.0.85 445 - - - tcp PetitPotam::PetitPotam Successful PetitPotam NTLM relay attack: efsrpc2 EfsRpcOpenFileRaw() - 192.168.0.15 192.168.0.85 445 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2021-09-08-09-40-22
% cat ./dce_rpc.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path dce_rpc
#open 2021-09-08-09-40-22
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p rtt named_pipe endpoint operation
#types time string addr port addr port interval string string string
1630594365.186353 Cdyntb1vGsZnt6aus7 192.168.0.85 57206 192.168.0.80 49677 0.001003 49677 drsuapi DRSUnbind
1630594365.187814 Cdyntb1vGsZnt6aus7 192.168.0.85 57206 192.168.0.80 49677 0.000819 49677 drsuapi DRSUnbind
1630594390.076173 CyNNkV2Rl7jrlWadG7 192.168.0.15 33524 192.168.0.85 445 1.023152 \\pipe\\lsass efsrpc2 EfsRpcOpenFileRaw
1630594416.810307 CDjrA835p6W6vhm4sg 192.168.0.85 57210 192.168.0.80 49677 0.001444 49677 drsuapi DRSGetNCChanges
#close 2021-09-08-09-40-22
Copyright (c) 2021, Corelight, Inc. 모든 권리 보유.
소스 및 바이너리 형태로의 재배포 및 사용은 수정 여부와 관계없이 다음 조건을 충족하는 경우 허용됩니다:
(1) 소스 코드의 재배포는 위의 저작권 고지, 이 조건 목록 및 다음 면책 조항을 유지해야 합니다.
(2) 바이너리 형태로의 재배포는 위의 저작권 고지, 이 조건 목록 및 다음 면책 조항을 배포와 함께 제공되는 문서 및/또는 기타 자료에 포함해야 합니다.
(3) Broala, Inc.의 이름 또는 기여자의 이름은 사전 서면 허가 없이 이 소프트웨어에서 파생된 제품을 보증하거나 홍보하는 데 사용될 수 없습니다.
본 소프트웨어는 저작권 보유자 및 기여자에 의해 "있는 그대로" 제공되며, 명시적 또는 묵시적 보증(특히 상품성 및 특정 목적에의 적합성에 대한 묵시적 보증을 포함하되 이에 국한되지 않음)은 부인됩니다. 어떠한 경우에도 저작권 소유자 또는 기여자는 직접, 간접, 우발, 특별, 예시적 또는 결과적 손해(대체 상품 또는 서비스의 조달; 사용, 데이터 또는 이익의 손실; 또는 업무 중단을 포함하되 이에 국한되지 않음)에 대해, 그 원인이 계약, 엄격한 책임 또는 불법 행위(과실 포함) 등 어떤 책임 이론에 의한 것이든, 본 소프트웨어 사용으로 인해 발생한 어떤 방식으로든, 그러한 손해의 가능성을 사전에 통보받았더라도 책임을 지지 않습니다.