What

PrintNightmare es una vulnerabilidad en el servicio de impresión de Microsoft Windows (PrintSpooler) que permite la ejecución de código con privilegios de usuario SYSTEM[, que es el de mayor privilegio en sistemas Windows]. Esta vulnerabilidad se puede utilizar para la escalada de privilegios de forma local en el equipo en que se explota [...] para la obtención de acceso a la red.

How

Una vez el atacante obtiene las credenciales del usuario de una red corporativa [...] mediante técnicas de ingeniería social [phishing], se utilizan para la obtención de acceso a la red:

[...]

1. [Malware download:] En primer lugar, el atacante realiza una conexión con un servidor de impresión remota «\printnightmare.gentilkiwi.com» previamente modificado por el usuario malicioso para explotar la vulnerabilidad de PrintNightmare;
2. [Privilege escalation (local):] Esta acción permite al atacante abrir una terminal de comandos (CMD) con privilegios de usuario SYSTEM, que aprovecha para añadir al [...] usuario comprometido por el atacante durante el phishing al grupo de administradores locales;
3. [Memory dump:] Empleando la terminal de comandos con permisos de SYSTEM obtenida durante la ejecución de PrintNightmare el atacante obtiene la información relacionada con el proceso de autenticación de usuarios de Windows de la máquina mediante el volcado de la memoria asociada al proceso lsass.exe.[...]
4. [Windows Credentials Decoding:] Una vez se realiza el volcado de la memoria, se ejecuta el software mimikatz[.exe] que permite al atacante acceder a la información en claro del contenido del fichero lsass.DMP generado en el punto anterior;
5. [Domain Admin Credentials spotting:] Al acceder al contenido almacenado en el archivo lsass.DMP se obtienen las credenciales de los usuarios que habían iniciado previamente sesión en la máquina [...] entre los cuales se encuentran las credenciales del usuario administrador de dominio [...].
6. [Domain Controller compromising:] La obtención de estas credenciales permite al atacante el acceso al controlador de dominio [...]. [...] Movimiento lateral por RDP hacia controlador de dominio donde el usuario [administrador de dominio] realiza una conexión remota desde el equipo comprometido [...] hacia el controlador de dominio [...].
7. [(e.g.) Ransomware deployment:] El atacante ahora posee privilegios administrativos del dominio, lo que le permite tener control y acceso total a las diferentes máquinas que forman parte de este. Este nivel de privilegios le permitirían realizar cualquier acción sobre el dominio, en este caso se ha utilizado este nivel de permisos para la detonación de un ransomware. El paso siguiente constituye la descarga del binario malicioso detonante del ransomware a la estación de trabajo y su transferencia al controlador de dominio [...]. Finalmente, una vez el atacante transfiere el binario malicioso al controlador de dominio [...] procede a la ejecución del ransomware que comprometerá e inhabilitará completamente el dominio corporativo.

Bibliografía

1. Microsoft, Windows Print Spooler Remote Code Execution Vulnerability, 1 Julio 2021. [Último acceso: 19 Julio 2021].
2. gentilkiwi, mimikatz, [Último acceso: 7 Agosto 2021]