Share hunting

En un dominio Active Directory, los recursos compartidos SMB (departamentales, home de usuario, SYSVOL) suelen acumular secretos que nadie limpia: scripts de despliegue con contraseñas, ficheros web.config, unattend.xml, copias de seguridad, .kdbx, hojas de cálculo. La caza en shares es peinar esos recursos en toda la red con unas credenciales de bajo privilegio para encontrar la credencial que da el siguiente salto. No explota un fallo de software, sino los permisos NTFS laxos y la costumbre de guardar secretos en sitios legibles por muchos.

Mecanismo

Con credenciales de dominio se enumeran primero los shares accesibles y sus permisos por host. netexec lo hace en masa contra una lista de máquinas:

netexec smb <ip> -u <user> -p <pass> --shares

Para no descargarlo todo a mano, el módulo spider_plus recorre un share y cataloga los ficheros interesantes por extensión y tamaño, dejando un JSON con las rutas:

netexec smb <ip> -u <user> -p <pass> -M spider_plus --share 'Department Shares'

Snaffler hace lo mismo desde un host Windows del dominio, pero además clasifica los hallazgos por criticidad (marca en verde ficheros con pinta de contener secretos), lo que ahorra ruido en shares enormes:

Snaffler.exe -s -d <domain> -o snaffler.log -v data

Encontrado un fichero prometedor, se descarga con smbclient (recursivo si hace falta) y se leen las credenciales:

smbclient //<ip>/'Department Shares' -U <domain>/<user>%<pass> -c 'recurse ON; prompt OFF; mget *'

Merece la pena buscar también contraseñas en SYSVOL (scripts de logon, Registry.xml de autologon por GPO) y en el campo Description de las cuentas de AD, donde a veces aparecen credenciales.

Requisitos

Unas credenciales de dominio válidas (aunque sean de bajo privilegio) y acceso de lectura a algún share. El valor depende de lo descuidado que sea el entorno; es un proceso iterativo: cada credencial nueva puede abrir shares que la anterior no veía, así que conviene repetir la caza con cada cuenta obtenida.

Cómo detectarlo. Delata la caza el acceso secuencial y masivo a muchos recursos y ficheros por una cuenta que no suele hacerlo, lecturas amplias de SYSVOL/Department Shares, y la firma de herramientas como Snaffler o el módulo spider_plus de netexec. Los eventos 5140/5145 (acceso a objeto de recurso compartido) en volumen anómalo desde un solo origen son la señal principal.

Defensa. Aplicar mínimo privilegio en los permisos NTFS y de share; no guardar secretos en texto plano en shares (usar gestores de secretos y gMSA); revisar SYSVOL en busca de contraseñas incrustadas; y auditar el acceso a los recursos sensibles. Es la versión en red de la caza de credenciales local, hermana de las credenciales en el código y de cPassword en GPP, parte del acceso a SMB y desemboca en la reutilización de credenciales.