danmcinerney/icebreakerObtém credenciais do Active Directory em texto simples se você estiver na rede interna, mas fora do ambiente AD.
Rompa o gelo com aquele ambiente Active Directory bonitinho ali. Quando você está sozinho e frio olhando para uma festa do Active Directory, mas não possui nem uma única credencial AD para participar da diversão, esta ferramenta é para você.
Automatiza sequencialmente 5 ataques internos de rede contra o Active Directory para fornecer credenciais em texto simples. Use a opção --auto para adquirir automaticamente privilégios de administrador de domínio após obter uma posição inicial.
Os seguintes ataques são executados sequencialmente até o quarto e quinto ataques, que são executados em paralelo e indefinidamente.
Todos os hashes NetNTLMv2 capturados nas técnicas abaixo são automaticamente quebrados com JohnTheRipper e uma lista de senhas específica do AD com 1 milhão de entradas.
Ele realizará os 5 ataques de rede acima em ordem. O reverse bruteforce e os uploads de arquivos SCF geralmente são rápidos, depois ele permanece no ataque 3, Responder.py, por 10 min por padrão. Após esse tempo, ou o tempo especificado pelo usuário, ele passa para os dois últimos ataques, que são executados em paralelo e indefinidamente.
Se algum host for descoberto como permitindo sessões SMB nulas, o icebreaker usará o ridenum para realizar RID cycling em busca de nomes de usuário válidos. Se você usar a opção "-d <somedomain.com>", o theHarvester extrairá endereços de e-mail do site especificado. Quaisquer nomes de usuário de e-mail compatíveis com AD serão adicionados à lista de nomes de usuário do reverse bruteforce. O Icebreaker usa a biblioteca asyncio para realizar o reverse bruteforce usando a ferramenta linux rpcclient com 10 workers assíncronos.
O ataque de upload de SCF abusa dos Shell Command Files contra compartilhamentos de rede anonimamente graváveis. SCFs são arquivos que podem realizar ações básicas, como mostrar a área de trabalho ou abrir uma janela do File Explorer. Eles têm a propriedade curiosa de permitir que você defina o ícone do arquivo para um caminho de rede. Se você definir esse caminho de rede para sua própria máquina, os usuários que abrirem o compartilhamento de arquivos no File Explorer enviarão automaticamente o hash de senha NetNTLMv2 para você. O Icebreaker usa o script Nmap smb-enum-shares para encontrar compartilhamentos anonimamente graváveis e, em seguida, gera e faz upload automaticamente do SCF com payload.
O ataque 3 usa o Responder.py para envenenar os protocolos multicast/broadcast LLMNR, NBT-NS e mDNS. Quando os usuários navegam para um caminho de rede inexistente, o Responder dirá a eles que sua máquina atacante é o caminho correto. O hash da senha NetNTLMv2 do usuário agora é seu. O Responder capturará hashes enviados pelo ataque SCF, mas o próximo ataque geralmente é mais útil para capturar hashes SCF porque tem o potencial de usar o hash para execução de comandos.
O relay SMB é um ataque de rede antigo onde os atacantes se posicionam entre o cliente SMB e o servidor SMB. Isso permite que os atacantes capturem e retransmitam hashes NetNTLMv2 para hosts que tenham SMBv1 habilitado e SMB signing desabilitado. O ntlmrelayx.py da biblioteca Impacket é usado para fazer o relay, enquanto o Responder.py é usado para fazer man-in-the-middle nas conexões SMB. Se o usuário cliente SMB tiver direitos administrativos em qualquer host na rede que tenha SMB signing desabilitado, o ntlmrelayx.py executará comandos nesse host.
Assim que o ntlmrelayx retransmitir um hash capturado, ele executará um comando powershell codificado em base64 que primeiro adiciona um usuário administrativo (icebreaker:P@ssword123456), depois executa uma versão ofuscada e com bypass de AMSI do Mimikatz, seguida por uma versão ofuscada e com bypass de AMSI do Invoke-PowerDump. A saída do Invoke-Mimikatz e do Invoke-PowerDump é analisada em busca de senhas em texto simples ou hashes NTLM e entregue ao usuário na saída padrão, bem como no arquivo found-passwords.txt. Hashes NTLM, ao contrário dos hashes NetNTLMv2, podem ser usados como uma senha em texto simples para autenticação em outros hosts AD. A única ressalva é que desde o patch KB2871997 da Microsoft, apenas a conta de administrador local RID 500 embutida pode ser usada em ataques pass-the-hash.
