Zerologon

摘要

一个 Zeek 检测包，用于检测 CVE-2020-1472（也称为 Zerologon）， 这是一个针对 Windows Server 域控制器 Netlogon 协议的 CVSS 10.0 权限提升漏洞。

通知

默认情况下，两种通知都会被触发：

• Zerologon_Attempt 表示在短时间内进行了所需次数的登录尝试。
• Zerologon_Password_Change 表示上述情况发生，并且密码更改成功。

在 cluster.zeek 中，通过 redef 将 notice_on_exploit_only 设为 T 后，将仅生成 Zerologon_Password_Change 通知。

用法与说明

• 已在 Zeek 版本 3.3.0-dev.53-debug 和 3.2.0 以及 Corelight Sensor v19 上测试。它应该适用于 Zeek 3.0 及更高版本。
• 该包在集群和非集群环境中均可运行。
• 基于附带的攻击 PCAP 开发。

参考

• https://www.secura.com/blog/zero-logon
• https://www.secura.com/pathtoimg.php?id=2055
• https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
• https://corelight.blog/2020/09/16/detecting-zerologon-cve-2020-1472-with-zeek/