CVE-2020-0796-CNA

Modificado com base no POC fornecido por danigargu, implementou a reprodução de escalonamento de privilégios no Windows 10 e desenvolveu o AggressorScripts com base no projeto de DLL reflexiva de stephenfewer e na interface fornecida pela documentação do CobaltStrike.

Este repositório é apenas para fins de comunicação sobre a implementação e teste de injeção de DLL reflexiva, portanto não fornece uma versão Release, compile por conta própria

Ainda não foram realizados testes de estabilidade específicos, feedback é bem-vindo

Versões Afetadas (Escalonamento Local de Privilégios + Tela Azul Remota)

• Windows 10 Versão 1903 para sistemas de 32 bits
• Windows 10 Versão 1903 para sistemas baseados em x64
• Windows 10 Versão 1903 para sistemas baseados em ARM64
• Windows Server, Versão 1903 (instalação Server Core)
• Windows 10 Versão 1909 para sistemas de 32 bits
• Windows 10 Versão 1909 para sistemas baseados em x64
• Windows 10 Versão 1909 para sistemas baseados em ARM64
• Windows Server, Versão 1909 (instalação Server Core)

Mitigação da Vulnerabilidade

1. Atualizar o sistema

   Passos: Configurações -> Atualização e Segurança -> Windows Update, clique em "Verificar atualizações".

2. Desabilitar a compressão SMB

   Execute regedit.exe, abra o Editor do Registro, crie um DWORD chamado DisableCompression em HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters com valor 1.

3. Usar o firewall para bloquear a comunicação SMB na porta 445

   Endereço do patch: https://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4551762

Princípio de Implementação

Leitura Recomendada: Construindo Módulos de Pós-Exploração Através de Injeção de DLL Reflexiva (Primeira Aula)