CVE-2022-1257 PoC: Coleta de Credenciais do Banco de Dados do McAfee Agent

Feito por scottk817

Este script é um PoC para CVE-2022-1257, uma vulnerabilidade no McAfee Agent (Trellix Agent) ao trabalhar com seu banco de dados. A vulnerabilidade permite que atacantes recuperem e descriptografem credenciais do arquivo de banco de dados do McAfee Agent (ma.db) devido ao manuseio inadequado da chave de criptografia.

Disclaimer

Este script é destinado apenas para fins educacionais. Não o utilize em sistemas que você não possui ou para os quais não tem permissão explícita para testar. O acesso não autorizado a sistemas e dados é ilegal e antiético.

Description

CVE-2022-1257 conforme descrito pelo NIST:

Vulnerabilidade de armazenamento inseguro de informações sensíveis no MA para Linux, macOS e Windows anteriores a 5.7.6 permite que um usuário local obtenha acesso a informações sensíveis por meio do armazenamento em ma.db. As informações sensíveis foram movidas para arquivos de banco de dados criptografados.

Este script demonstra como um atacante poderia explorar esta vulnerabilidade:

1. Copiando o arquivo ma.db para um local temporário para evitar contenção de bloqueio.
2. Extrair os nomes de usuário e senhas criptografadas armazenadas no banco de dados.
3. Decodificar as senhas extraídas e, em seguida, descriptografá-las usando descriptografia XOR e 3DES.
4. Gerando os resultados no formato CSV para uso posterior.

Prerequisites

• Sistema Operacional Windows (Windows 11)
• PowerShell 5.1 ou posterior
• winsqlite3.dll: Este arquivo DLL deve estar disponível para operações SQLite, vem nativamente no Windows 11.

Installation

1. Clone ou baixe o repositório.
2. Certifique-se de que winsqlite3.dll está disponível no seu sistema, ele vem nativamente com o Windows 11.
3. Certifique-se de que você tem acesso ao PowerShell.
4. Certifique-se de que você tem acesso ao banco de dados do McAfee Agent (ma.db). Ele está normalmente localizado em C:\ProgramData\McAfee\Agent\DB\ma.db.

Usage

Execute o script no PowerShell com o seguinte comando:

.\CVE-2022-1257.ps1

O script irá gerar os nomes de usuário e senhas descriptografadas do banco de dados no formato CSV:

Username,Password
user1,password1
user2,password2

Se você estiver usando isso em uma avaliação, pode ser valioso sanitizar o script e ofuscar com Invoke-Obfuscate

References

• CVE-2022-1257
• Ferramenta de Descriptografia de Senha da Sitelist do McAfee
• Abusando de Vulnerabilidades e Configurações Incorretas do McAfee
• TryHackMe: Violando o Active Directory (Este é onde aprendi sobre esta vulnerabilidade pela primeira vez)

License

Este projeto está licenciado sob a Licença MIT - consulte o arquivo LICENSE para obter detalhes.