Coerção de Autenticação com Coercer e PetitPotam

Aviso Legal: Esta habilidade é apenas para fins de testes de segurança autorizados e educacionais. A coerção de autenticação combinada com o retransmissão NTLM pode levar à compromisso do domínio. Use apenas contra sistemas que você possui ou tem autorização explícita por escrito para testar. O uso não autorizado é ilegal.

Visão Geral

Muitas interfaces RPC do Windows expõem métodos que aceitam um caminho UNC e fazem com que o servidor receptor se autentique nesse caminho usando sua conta de máquina. Um atacante que pode alcançar essas interfaces pode forçar um alvo (comumente um Controlador de Domínio) a se autenticar em um host controlado pelo atacante. Por si só, isso é "Autenticação Forçada"; combinado com uma retransmissão NTLM, a credencial de máquina coagida é retransmitida para um serviço que não impõe assinatura/EPA, mais famoso o Registro Web do AD CS (ESC8), resultando em um certificado para o Controlador de Domínio e, finalmente, compromisso do domínio.

PetitPotam (Gilles Lionel / topotam) abusa dos métodos MS-EFSR (Encrypting File System Remote Protocol) EfsRpcOpenFileRaw / EfsRpcEncryptFileSrv. Coercer (p0dalirius) generaliza a técnica: é uma ferramenta Python que força automaticamente um servidor Windows a se autenticar em uma máquina arbitrária através de 12 métodos que abrangem vários protocolos — MS-EFSR (PetitPotam), MS-RPRN (PrinterBug/SpoolSample), MS-DFSNM (DFSCoerce), MS-FSRVP (ShadowCoerce), MS-EVEN e mais. O Coercer opera em três modos: scan (sondar quais métodos RPC são alcançáveis/coercíveis), coerce (acionar autenticação) e fuzz (pesquisar variações de caminho). Fontes: p0dalirius/Coercer, topotam/PetitPotam, The Hacker Recipes — Forced Authentications.

Quando Usar

• Para completar uma cadeia ESC8/ESC11 forçando um DC a se autenticar em um retransmissor.
• Para acionar autenticação de máquina para retransmissão NTLM para LDAP (RBCD) ou SMB.
• Quando um alvo de retransmissão é identificado, mas nenhuma autenticação de entrada está ocorrendo naturalmente.
• Durante a engenharia de detecção para gerar telemetria de coerção para ajuste de equipe azul.
• Para validar que DCs/servidores estão corrigidos e que as mitigações de retransmissão (assinatura/EPA) se mantêm.

Pré-requisitos

• Escopo autorizado incluindo técnicas de coerção e retransmissão NTLM.
• Credenciais de domínio válidas (frequentemente de baixo privilégio); alguns métodos funcionam sem autenticação contra hosts não corrigidos.
• Um ouvinte de retransmissão (Certipy relay ou Impacket ntlmrelayx) em um host alcançável.
• Alcance de rede para os endpoints RPC do alvo (135 + dinâmico, 445).
• Host de ataque Linux com Python 3.8+; instale as ferramentas:

  # Coercer
  pipx install coercer        # or: sudo python3 -m pip install coercer
  coercer --help
  # PetitPotam (source)
  git clone https://github.com/topotam/PetitPotam
  # Impacket (provides ntlmrelayx, dFSCoerce etc.)
  pipx install impacket
  

Objetivos

• Identificar quais métodos de coerção RPC um alvo expõe (modo scan).
• Configurar uma retransmissão NTLM apontada para um serviço vulnerável (por exemplo, registro web do AD CS).
• Coagir a conta de máquina do alvo a se autenticar no retransmissor.
• Obter um artefato retransmitido (certificado do DC via ESC8, gravação RBCD via LDAP).
• Documentar métodos coercíveis e recomendar correções/mitigações.

Mapeamento MITRE ATT&CK

Técnicas encadeadas: T1557.001 (LLMNR/NBT-NS Poisoning e retransmissão SMB/NTLM) e T1649 (Roubar ou Forjar Certificados de Autenticação) quando retransmitidas para o AD CS.

Fluxo de Trabalho

Etapa 1: Sondar o alvo para métodos coercíveis

Use o modo de varredura do Coercer para enumerar quais métodos RPC no alvo podem ser explorados. Isso identifica o melhor vetor de coerção sem disparar um ataque completo.

coercer scan -u 'attacker' -p 'Passw0rd!' -d corp.local \
    -t 10.0.0.10 -l 10.0.0.50

-t é o alvo (por exemplo, o DC), -l é o IP do ouvinte que deve receber a autenticação coagida.

Etapa 2: Configurar o retransmissor (exemplo ESC8)

Em um terminal separado, inicie o retransmissor apontado para o registro web do AD CS para que qualquer autenticação de DC retransmitida gere um certificado de DomainController.

# Certipy relay para registro web HTTP (ESC8)

…