ResetNightmare

Ferramenta de prova de conceito (POC) para ResetNightmare (CVE-2026-27912).

ResetNightmare é uma falha de validação no protocolo Kerberos Change Password que permite redefinir a senha de qualquer conta de usuário/computador alvo, sem conhecer a senha atual. O ataque requer um controlador de domínio sem patch e a capacidade de gravar um userPrincipalName (UPN) em qualquer conta que você controle. Alternativamente, a vulnerabilidade também pode ser explorada por um atacante com a capacidade de criar novos usuários/computadores em qualquer OU, pois criar um usuário/computador permite obter permissões GenericWrite sobre ele.

Fluxo do ataque

Este script automatiza todo o fluxo do ataque e faz a limpeza após a execução. O fluxo do ataque é o seguinte:

1. O atacante tem um usuário ou computador no qual pode gravar um UPN. Isso pode ser fornecido ou criado, usando -CreateNewPath.
2. O atacante define o UPN da conta que controla para o sAMAccountName do alvo, por exemplo, "Administrator".
3. O atacante pode então solicitar um TGT para o nome de usuário "Administrator", com um tipo de nome NT-ENTERPRISE. Este TGT será solicitado ao SPN kadmin/changepw.
4. O atacante limpa o próprio UPN, deixando apenas o alvo com um UPN que resolvia para ele mesmo.
5. O atacante então usa o TGT que possui para redefinir a senha do usuário "Administrator", sem nunca conhecer o valor anterior.
6. Se o ataque for bem-sucedido, a senha do alvo foi alterada, e o atacante agora pode se autenticar usando as novas credenciais.

Tanto contas de usuário quanto contas de computador podem ser alvo.

Requisitos

• Windows com PowerShell.
• O módulo PowerShell ActiveDirectory.
• O script usa o Rubeus.exe, testado com Rubeus compilado para .NET Framework 4.6.2. Coloque-o no diretório atual, ou aponte para ele com -RubeusPath.
• Uma das seguintes opções:
  • Uma conta de domínio que você controla e na qual pode gravar um UPN.
  • Permissão para criar contas em uma OU/Container (especificada com -CreateNewPath).
• Um DC sem patch como alvo. Pode ser especificado com -DC.

Uso

Use dot-source no script para carregar a função e então chame-a:

. .\ResetNightmare.ps1

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

Direcionando uma conta de computador

Use o sAMAccountName (terminando com $) para -TargetAccount:

Invoke-ResetNightmare `
    -TargetAccount 'server$' `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

Criando uma nova conta controlada

Se você tiver permissão para criar objetos em uma OU/Container, pode especificar o DN da OU/Container usando -CreateNewPath. Quando especificado, -UPNUser e -UPNUserPassword são tratados como as credenciais da conta a ser criada, em vez de uma conta existente no domínio:

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "attackerAcct" `
    -UPNUserPassword "AttackerP@ss!" `
    -CreateNewPath "OU=Temp,DC=demo,DC=lab"

Adicione -Computer para criar/usar uma conta de computador em vez de uma conta de usuário.

Parâmetros

AVISO LEGAL
Este conteúdo é fornecido apenas para fins educacionais e informativos. Tem como objetivo promover a conscientização e a remediação responsável de vulnerabilidades de segurança que possam existir em sistemas que você possui ou está autorizado a testar. O uso não autorizado destas informações para fins maliciosos, exploração ou acesso ilegal é estritamente proibido. Os autores não endossam nem toleram qualquer atividade ilegal e se isentam de qualquer responsabilidade decorrente do mau uso do material. Além disso, os autores não garantem a precisão ou a integralidade do conteúdo e não assumem responsabilidade por quaisquer danos resultantes de seu uso.