Spiegazione della vulnerabilità Zerologon: Rischi, exploit e mitigazione

Cos'è Zerologon?

Zerologon è una vulnerabilità critica di Windows Server (CVE-2020-1472). Deriva da un difetto nel protocollo remoto Netlogon di Microsoft (MS-NRPC), dove la crittografia AES-CFB8 utilizza un vettore di inizializzazione fisso e tutto a zero. Un attaccante ha bisogno solo di un accesso di base alla rete al servizio Netlogon di un domain controller (ad esempio, attraverso una connessione VPN o una macchina interna compromessa) per inviare messaggi Netlogon artigianali che forzano ripetutamente l'autenticazione a riuscire. Una volta riuscito, possono:

• Impersonare un controller di dominio.
• Reimposta la password dell'account macchina del DC, anche senza la necessità di credenziali.
• Da lì, possono scalare direttamente a Domain Admin e prendere il controllo dell'intero dominio Active Directory.

Questo attacco può compromettere un intero dominio Windows in pochi minuti, motivo per cui Microsoft lo ha identificato con CVE-2020-1472 assegnandogli un punteggio CVSS di 10.0 (Critico). Il bug è stato attivamente sfruttato da gruppi di minacce avanzate e operatori di ransomware, come Ryuk, Black Basta e Cuba. Applicare questa patch non è solo una raccomandazione; è assolutamente critico.

Come funziona Zerologon?

Analizziamo ogni fase dell'attacco Zerologon, comprendendo come un attaccante passi dall'ottenere un accesso di base alla rete al compromettere un controller di dominio.

1. Stabilire una sessione TCP con il DC di destinazione

L'attaccante necessita di accesso alla rete per il servizio Netlogon di un controller di dominio (TCP/445). Spesso lo ottengono tramite phishing, credenziali VPN rubate o movimento laterale da un host interno compromesso.

2. Avviare un canale Netlogon non sicuro

L'attaccante sfrutta una debolezza crittografica nel Netlogon Remote Protocol (MS-NRPC) di Microsoft. A causa del difetto di crittografia AES-CFB8 del protocollo che utilizza un vettore di inizializzazione (IV) fisso tutto a zero, l'attaccante invia ripetutamente messaggi Netlogon elaborati fino a quando uno non riesce con una chiave di sessione azzerata, causando l'accettazione della sessione da parte del protocollo senza un'autenticazione adeguata. In altre parole, il protocollo non riesce a convalidare la sessione in modo sicuro.

Ogni richiesta elaborata ha circa una possibilità su 256 di successo, quindi uno script può ottenere l'autenticazione in pochi secondi.

3. Disabilitare la firma e la sigillatura

Dopo la stretta di mano, l'attaccante disattiva la firma e la crittografia dei messaggi. Questo garantisce che il traffico Netlogon successivo, inclusi i cambiamenti di password, viaggi in chiaro.

4. Invia NetrServerPasswordSet2

Dopo aver creato una sessione Netlogon non autenticata ma (erroneamente) considerata affidabile, l'attaccante chiama la funzione RPC NetrServerPasswordSet2 per reimpostare la password dell'account macchina del controller di dominio su una stringa vuota. In questo modo, l'attaccante prende il controllo del DC.

5. Sfrutta i privilegi elevati

Dotato dei privilegi del controller di dominio, l'attaccante può utilizzare strumenti come Mimikatz per eseguire un DCSync.

DCSync abusa del normale processo di replica che i DC utilizzano per mantenere sincronizzati i loro database. Impersonando un altro DC, l'attaccante richiede il database di Active Directory delle hash delle password, incluse quelle per gli account di servizio e gli amministratori di dominio. Con queste hash, l'attaccante può creare o impersonare qualsiasi account, mantenere un accesso persistente e controllare completamente l'intero dominio.

6. Opzionalmente ripristina la password

Alcuni attaccanti reimpostano la password dell'account macchina del DC al suo valore originale per evitare il rilevamento di Zerologon pur mantenendo l'accesso alle credenziali rubate.

Diagramma del flusso di attacco

Il seguente esempio di scenario può aiutarti a capire come potrebbe apparire un attacco Zerologon in una situazione reale.

In un fornitore di servizi sanitari di medie dimensioni, un impiegato del reparto finanziario clicca su una email di phishing molto convincente, concedendo a un attaccante l'accesso remoto alla propria postazione di lavoro. Da quel punto d'appoggio, l'attaccante scandaglia la rete interna e scopre un controller di dominio non aggiornato. Utilizzando la vulnerabilità Zerologon (CVE-2020-1472), l'attaccante stabilisce una sessione Netlogon fidata e reimposta la password dell'account macchina del DC a un valore vuoto. Ora in possesso dei privilegi di Domain Admin, eseguono un attacco DCSync per scaricare tutti gli hash delle credenziali di Active Directory, si spostano lateralmente ai server dei record dei pazienti e distribuiscono ransomware - bloccando le operazioni IT dell'organizzazione entro poche ore.

Il diagramma illustra una tipica catena di attacco Zerologon, dall'iniziale presa di posizione nella rete fino al completo compromesso del dominio.

Esempi di attacchi Zerologon

Dalla sua divulgazione nel 2020, Zerologon è stato sfruttato in molteplici violazioni reali. Gli aggressori hanno utilizzato questa tecnica per eseguire operazioni di ransomware e APT contro reti governative, sanitarie e aziendali in tutto il mondo. Ecco alcuni casi concreti.

Conseguenze degli attacchi Zerologon

Un attacco Zerologon può causare il caos in un'organizzazione. Una volta che gli aggressori ottengono l'accesso da Domain Admin, i danni possono prosciugare le risorse finanziarie e macchiare la reputazione dell'azienda.

Obiettivi comuni degli attacchi Zerologon: Chi è a rischio?

Zerologon può minacciare qualsiasi organizzazione che utilizza Active Directory, ma alcuni ambienti sono più vulnerabili di altri o tendono ad essere più allettanti per gli attaccanti.

Valutazione dei rischi

Zerologon è un pericolo grave che ottiene la valutazione di rischio più alta in ogni categoria. La vulnerabilità permette agli aggressori di prendere il controllo dell'intero ambiente AD di un'organizzazione con relativa facilità una volta che ottengono accesso alla rete.

Microsoft e i principali framework di sicurezza classificano Zerologon (CVE-2020-1472) al massimo livello delle loro scale di gravità. Questo significa che considerano Zerologon una vulnerabilità urgente e di grande impatto che richiede attenzione immediata.

• Microsoft Security Advisory – Classificato come Critico, che è il livello di gravità più alto di Microsoft.
• Punteggio CVSS v3.1 – Assegnato un 10.0 (Critico), il punteggio massimo possibile, riflettendo la facilità di sfruttamento e il potenziale per il completo controllo del dominio.
• CISA / Governo degli Stati Uniti – Ha aggiunto CVE-2020-1472 al catalogo delle Vulnerabilità Conosciute Sfruttate (KEV) e ha emesso molteplici direttive di emergenza che sollecitano una patch immediata.

Consideriamo anche alcuni altri fattori di rischio:

Come prevenire un attacco Zerologon

Per prevenire un attacco Zerologon, le organizzazioni dovrebbero necessitare di una combinazione di patch tempestive, controlli di autenticazione più forti e monitoraggio attivo.

Applica immediatamente la patch

Installate gli aggiornamenti di sicurezza di Microsoft di agosto 2020 e febbraio 2021 su ogni domain controller senza indugi. Queste patch chiudono la falla crittografica di Netlogon e impongono protezioni del canale sicuro che bloccano lo sfruttamento di Zerologon.

Imporre Secure RPC

Rafforza le connessioni RPC (Remote Procedure Call) sicure abilitando la chiave di registro FullSecureChannelProtection e le corrispondenti impostazioni dei Criteri di Gruppo. Questo obbliga tutto il traffico Netlogon ad utilizzare canali criptati e firmati. Questa misura impedisce agli aggressori di degradare la sicurezza delle connessioni Netlogon, rendendo difficile per loro manipolare o impersonare le comunicazioni legittime del controller di dominio.

Limitare i dispositivi non Windows

Segmentate o controllate rigorosamente i dispositivi Linux, macOS e IoT che si autenticano con Active Directory, specialmente quelli che tentano di connettersi con privilegi elevati o utilizzano metodi di autenticazione meno sicuri. Endpoint non Windows non aggiornati o configurati in modo errato possono compromettere i controlli di sicurezza.

Implementare MFA

Applica l'autenticazione multifattore, in particolare per tutti gli account privilegiati e di servizio. Sebbene Zerologon eluda di per sé l'autenticazione, l'MFA agisce come una difesa essenziale dopo un compromesso iniziale o per altri tipi di attacchi in cui potrebbero essere rubate le credenziali. Una verifica aggiuntiva riduce notevolmente la possibilità che le credenziali rubate da sole possano abilitare il movimento laterale o l'escalation dei privilegi.

Monitorare per attività sospette

Tracciare l'ID evento 4742 (modifiche all'account del computer) e gli eventi di connessione Netlogon 5827–5831, che possono rivelare ripetuti fallimenti di autenticazione o reimpostazioni inaspettate della password — tutti segnali di avvertimento precoci di un tentativo di sfruttamento. Monitorando attivamente questi ed altri eventi di sicurezza pertinenti, le organizzazioni possono rapidamente identificare attività sospette, rilevare tentativi di sfruttamento e avviare una risposta agli incidenti per limitare i danni.

Soluzioni Netwrix - Come Netwrix può aiutare

Per prevenire attacchi Zerologon, i prodotti di Netwrix come Netwrix Auditor possono essere fondamentali. Auditor consente alle organizzazioni di monitorare continuamente le modifiche alle impostazioni e configurazioni critiche all'interno di Active Directory, rilevare comportamenti anomali e avvisare gli amministratori di modifiche non autorizzate o attività sospette. Tracciando le deviazioni dalle configurazioni di base e fornendo visibilità in tempo reale, Netwrix Auditor aiuta le organizzazioni a individuare e contenere rapidamente i tentativi di escalation dei privilegi come quelli resi possibili da Zerologon.

• Monitoraggio in tempo reale: Netwrix Auditor monitora continuamente le modifiche ad Active Directory, incluse le configurazioni dei controller di dominio, l'appartenenza ai gruppi di sicurezza e le impostazioni dei criteri di gruppo. Può inviare allarmi in tempo reale agli amministratori in caso di modifica non autorizzata o quando vengono alterate impostazioni critiche. In questo modo, gli amministratori possono indagare rapidamente su qualsiasi cambiamento che potrebbe indicare un attacco.
• Rilevamento anomalie: Il motore di User Behavior and Anomaly Detection (UBAD) di Auditor utilizza l'apprendimento automatico per segnalare comportamenti insoliti degli account, come improvvisi innalzamenti di privilegi, ripetuti tentativi di accesso falliti o reimpostazioni inaspettate della password, che potrebbero indicare un exploit di tipo Zerologon.
• Rapporti di conformità: Netwrix Auditor offre report di conformità preconfigurati per framework come HIPAA, PCI DSS e GDPR. Questi rapporti dettagliati aiutano a verificare che le politiche di sicurezza (come l'applicazione tempestiva delle patch, la gestione degli account privilegiati e le modifiche al controllo degli accessi) siano rigorosamente seguite per rilevare e prevenire accessi non autorizzati.

Strategie di rilevamento, mitigazione e risposta

Per proteggere la tua organizzazione da un attacco Zerologon, è necessario un approccio stratificato: rilevamento precoce dei tentativi di autenticazione sospetti, patching rapido e rafforzamento dei controller di dominio, e un piano di risposta agli incidenti in caso di compromissione.

Rilevamento

Per la rilevazione degli attacchi Zerologon, si dovrebbero cercare segni specifici di sfruttamento piuttosto che semplici anomalie generiche.

• Netlogon Debug Logs: Monitorare immediatamente i rapidi fallimenti di NetrServerAuthenticate seguiti da un successo dallo stesso IP.
• Analisi della cattura dei pacchetti: Ispeziona le tracce di rete per tentativi di autenticazione Netlogon che utilizzano credenziali client con tutti zeri (00:00:00:00:00:00:00:00) e restituiscono STATUS_SUCCESS.
• Analisi degli Hash: Cerca l'hash NTLM noto 31d6cfe0d16ae931b73c59d7e0c089c0 nella cronologia degli account del controller di dominio, il quale indica una password vuota sull'account del controller di dominio.
• Monitoraggio del Registro Eventi: L'ID evento di sicurezza di Windows 4742 è la voce di registro che registra “Un account computer è stato modificato” in Active Directory. Quando si vede questo evento con Tipo di accesso: Anonimo (o “Accesso Anonimo” come chiamante), significa che qualcuno senza credenziali valide ha modificato con successo un oggetto account computer, indicando che potrebbe essersi verificato un sfruttamento di Zerologon.

Mitigazione

Le organizzazioni possono mitigare il rischio Zerologon seguendo alcune pratiche, come:

• Aggiornare Prontamente: Applicare gli aggiornamenti di Microsoft di agosto 2020 e febbraio 2021 per CVE-2020-1472 a ogni domain controller.
• Imporre Secure RPC: Attiva la policy/impostazione del registro FullSecureChannelProtection ed elimina qualsiasi eccezione alla policy. Questo obbliga tutto il traffico Netlogon tra i membri del dominio e i controller di dominio ad utilizzare RPC sicuro con autenticazione crittografica avanzata, bloccando il trucco delle credenziali tutto-zero utilizzato nell'exploit Zerologon.
• Riduci la Superficie di Attacco: Disabilita o elimina gli account macchina non-Windows inutilizzati in Active Directory, applica il principio del minimo privilegio ai membri dei gruppi e disattiva protocolli obsoleti come SMBv1 e NTLMv1.
• Rafforzare i controlli di Identity Management: Richiedere l'autenticazione a più fattori (MFA) per tutti gli account privilegiati per limitare l'impatto in caso di furto delle credenziali.
• Monitoraggio Avanzato: Implementate soluzioni EDR e SIEM per rilevare schemi di autenticazione anomali in tempo reale.

Risposta

Se sospetti o confermi una violazione Zerologon, agisci rapidamente e metodicamente:

• Isolare il DC interessato: Scollegare il domain controller compromesso dalla rete per interrompere l'attività dell'attaccante. Questo include scollegare i cavi di rete fisici, bloccare tutto il traffico di rete in entrata e in uscita dal DC e disabilitare le interfacce di rete.
• Reimposta credenziali: Cambia la password dell'account macchina del DC con un valore lungo e casuale.
• Ricostruire la fiducia: Ristabilire le relazioni di fiducia per tutte le macchine e gli account di servizio interessati. Puoi utilizzare lo strumento da riga di comando Netdom per reimpostare il canale sicuro per ogni client e server, oppure usare script PowerShell per automatizzare il processo.
• Ruota i Segreti Privilegiati: Reimposta tutte le credenziali amministrative, inclusa l'account KRBTGT, per invalidare gli hash rubati e i ticket Kerberos. L'account KRBTGT è la "chiave maestra" per Kerberos in un dominio. Un attaccante con il suo hash può creare "biglietti d'oro" per impersonare qualsiasi utente. Come prassi migliore, reimposta la password per questo account due volte (con un ciclo completo di scadenza del ticket Kerberos tra di loro).

Eseguire un'analisi forense completa: Condurre un'indagine approfondita per scoprire meccanismi di persistenza, movimenti laterali e ulteriori risorse compromesse. Cercare elementi come eventi di accesso insoliti, nuovi account amministrativi, modifiche nelle appartenenze ai gruppi e processi sospetti durante l'analisi forense.

Impatto specifico del settore

Mentre la vulnerabilità Zerologon minaccia qualsiasi organizzazione che utilizza Active Directory, le sue conseguenze possono variare a seconda del settore. Ecco alcuni esempi di come può influenzare le industrie critiche.

Evoluzione degli attacchi & Tendenze future

I cybercriminali stanno diventando più astuti con Zerologon. Automatizzano gli attacchi, utilizzando strumenti AI per individuare rapidamente i controller di dominio non aggiornati e si concentrano su sistemi vecchi che non possono essere aggiornati. Questo significa che l'intervallo tra la scoperta e il compromesso si sta riducendo, quindi è fondamentale applicare rapidamente le patch, monitorare costantemente e mantenere controlli di rete rigorosi.

Aumento dell'automazione

Gli aggressori stanno ora integrando exploit Zerologon direttamente in toolkit e playbook automatizzati per ransomware, permettendo loro di prendere il controllo di un dominio in pochi minuti. Questa automazione significa che possono scandagliare, intrufolarsi e muoversi attraverso la rete molto più velocemente e con meno competenze tecniche di prima. In molti casi colpiscono prima che i team di sicurezza se ne accorgano.

Consiglio per i difensori: concentratevi sulla rapida rilevazione (log Netlogon, acquisizioni di pacchetti) e automatizzate la gestione delle patch, in modo che il rimedio possa tenere il passo con gli attacchi automatizzati.

Integrazione con Ricognizione basata sull'AI

Gli aggressori stanno iniziando a combinare la scansione automatica con l'AI per trovare i controller di dominio vulnerabili più velocemente. I loro strumenti possono individuare indizi nella rete, prevedere quali server non sono aggiornati o utilizzano protocolli obsoleti e selezionare i controller di dominio di maggior valore. L'AI aiuta anche loro a scegliere il momento giusto e il percorso di attacco, basandosi sul comportamento osservato della rete, rendendo gli attacchi più precisi e difficili da prevedere.

Consiglio per i difensori: Migliorate l'igiene della rete e il monitoraggio. Alimentate EDR e SIEM con un contesto più ricco in modo che le vostre analisi possano individuare e bloccare queste minacce.

Continuo attacco ai sistemi legacy

I sistemi legacy e isolati che non ricevono più aggiornamenti dal fornitore rimangono un obiettivo privilegiato. Gli aggressori cercano ambienti in cui esistono eccezioni o liste di permessi per la compatibilità con versioni precedenti (ad esempio, sistemi che dipendono da comportamenti Netlogon obsoleti o build di sistemi operativi non supportati). Una volta che gli aggressori violano quelle macchine, possono utilizzarle come basi a lungo termine per attacchi ripetuti.

Consiglio per i difensori: se non potete applicare la patch a questi sistemi, isolateli dal resto della rete, applicate controlli compensativi (segmentazione della rete, regole firewall rigorose e jump server), rimuovete i protocolli non necessari e contrassegnateli come ad alto rischio per un monitoraggio rigoroso.

Statistiche chiave & Infografiche

La vulnerabilità Zerologon (CVE-2020-1472) è diventata rapidamente una delle minacce Windows più discusse perché è facile da sfruttare e può causare danni ingenti. Questi numeri dimostrano quanto sia cruciale applicare rapidamente le patch e rimanere in vantaggio con difese proattive e solide.

• Punteggio CVSSLa vulnerabilità ha ricevuto il massimo punteggio di base CVSS di 10.0, riflettendo la sua facilità di sfruttamento, la capacità di ottenere privilegi di Domain Admin senza credenziali e il potenziale per un compromesso completo del dominio.
• Tasso di successo dello sfruttamentoI ricercatori hanno scoperto che un singolo tentativo di Zerologon ha circa lo 0,39% di possibilità di successo, il che significa che di solito a un attaccante servono solo circa 256 tentativi per reimpostare la password della macchina di un controller di dominio. Poiché questi tentativi possono essere automatizzati, il compromesso può verificarsi in meno di un minuto.
• Ritardo nell'adozione delle patchNonostante Microsoft abbia rilasciato patch nell'agosto 2020 e nuovamente nel febbraio 2021, gli studi del settore mostrano che il tempo medio necessario per applicare le patch (MTTP) per le vulnerabilità critiche di Windows è di 60 a 150 giorni dopo il rilascio. Questo ritardo offre agli aggressori un ampio lasso di tempo per sfruttare i sistemi non aggiornati.

Ecco un grafico a barre che evidenzia queste statistiche.

Considerazioni Finali

La vulnerabilità Zerologon è stata scoperta per la prima volta nel 2020 dal ricercatore di sicurezza Tom Tervoort di Secura. Microsoft ha rilasciato una patch critica l'11 agosto 2020 come parte degli aggiornamenti mensili del Patch Tuesday. Una volta che la correzione è stata resa disponibile, Secura ha pubblicato un dettagliato resoconto tecnico con zerologon spiegato nel settembre 2020, il che ha attirato maggiore attenzione sul difetto e incoraggiato altri a creare exploit di prova del concetto pubblici.

Zerologon è un promemoria che un singolo difetto trascurato può mettere in pericolo un intero dominio Windows. La facilità di esecuzione, l'impatto critico e la lenta adozione delle patch hanno contribuito alla sua popolarità, sottolineando al contempo la necessità di applicare tempestivamente le patch, monitorare continuamente, avere controlli di identità forti e piani di risposta agli incidenti testati e pronti all'uso.

FAQ