#active-directory

Red Agents vs. Blue Agents: How to Make AI Better At Defense

Các nhà nghiên cứu sử dụng red team agents (đại lý tấn công) để huấn luyện blue team agents (đại lý phòng thủ) nhằm cân bằng ưu thế tấn công trong lĩnh vực AI agent.

Những kiến thức về cách sử dụng red teaming để cải thiện khả năng phòng thủ của AI sẽ giúp bạn hiểu rõ hơn về cách xây dựng hệ thống an toàn, phản ứng nhanh hơn trước các mối đe dọa thực tế, và tránh những sai lầm thường gặp trong thiết kế hệ thống AI.

New Certighost PoC exploit lets attackers hijack Windows domains

Một PoC mới (proof-of-concept) có tên Certighost cho phép kẻ tấn công chiếm quyền kiểm soát miền Windows thông qua khai thác lỗ hổng xác thực.

Lập trình viên cần đọc bài này để hiểu cách bảo mật hệ thống Windows bị lỗ hổng mới có thể bị khai thác, giúp họ phát triển kiến thức về bảo vệ ứng dụng và hệ thống khỏi các tấn công domain hijacking trong tương lai.

HTB: Fries

Máy tính Fries (HTB) là một Windows box giả định, ẩn đằng sau domain controller là nhiều dịch vụ Linux. Sau khi đăng nhập vào Gitea bằng credential không rõ mục đích, khai thác lỗ hổng Python eval trong pgAdmin lỗi thời để leo thang lên container. Từ môi trường và cơ sở dữ liệu pgAdmin, thu thập thêm credential tấn công Docker host (Hyper-V guest) bằng cách lợi dụng network file share. Sau khi chiếm quyền root trên host, khai thác PWM để lấy mật khẩu service account, di chuyển vào domain, lợi dụng ADCS misconfigurations để chiếm quyền administrator.

Là người học hoặc thực hành tấn công bảo mật, bạn nên đọc bài này để hiểu cách exploit lỗ hổng pgAdmin Python eval để chuyển từ container sang host Docker, sau đó kết hợp với kỹ thuật certificate forgery và AD misconfig để thực hiện ch chain tấn công từ Linux sang Windows Active Directory.

Closing the Identity Gaps in Critical Infrastructure Security

Critical infrastructure attacks often begin with stolen credentials, compromised devices, or trusted accounts. Specops Software explains why Zero Trust should verify both user identities and device trust before granting access to critical systems.

Kerberoasting Attack Explained Step by Step

Kerberoasting is an Active Directory attack that abuses the Kerberos protocol to steal service account passwords. Any authenticated domain user can request a TGS ticket for any SPN, then crack it offline using tools like Hashcat. The attack is popular because it requires no special privileges and doesn't trigger account lockouts. Detection relies on monitoring Windows Event ID 4769 for anomalous SPN requests or RC4 ticket requests. Defenses include migrating service accounts to Group Managed Service Accounts (gMSA), enforcing AES256 encryption, using long randomly generated passwords, auditing SPN assignments, and deploying honeypot accounts to catch reconnaissance early.

Analyzing Vibe-Coded AD Enumeration

Các tác nhân đe dọa đang sử dụng AI (vibe coding) để tạo ra các script PowerShell tùy chỉnh nhằm thăm dò Active Directory, vượt qua các biện pháp phát hiện dựa trên chữ ký truyền thống. Một script AI thực tế (Untitled1.ps1) được phục hồi và phân tích cho thấy các đặc điểm của LLM như tiêu đề "FULLY FIXED", tên server placeholder, phương pháp khám phá DC phức tạp, khối try/catch lặp và đầu ra console màu sắc quá mức. Script này thu thập dữ liệu AD (người dùng, máy tính, nhóm, OU, subnet, trusts) vào CSV, tạo báo cáo HTML và nén dữ liệu để exfiltration, khiến việc phát hiện dựa trên chữ ký trở nên vô hiệu do script sinh ra độc nhất mỗi lần.

Lập trình viên nên đọc bài này để hiểu cách các nhà tấn công sử dụng AI tạo ra mã độc phức tạp, tránh được phát hiện thông qua các cơ chế ký tự và cần chuyển sang phân tích hành vi để bảo vệ hệ thống Active Directory.

BadSuccessor — Exploiting delegated Managed Service Accounts in Windows Server 2025

BadSuccessor is a privilege escalation vulnerability in Windows Server 2025 affecting Delegated Managed Service Accounts (dMSAs). A low-privileged user with CreateChild rights on an Organizational Unit can create a dMSA, link it to a Domain Administrator account via the msDS-ManagedAccountPrecededByLink attribute, and set the migration state to 'Completed'. The KDC then injects the Domain Admin's SIDs into the Kerberos ticket PAC, effectively granting Domain Admin privileges without needing the admin's password. The post covers the vulnerability mechanics, the missing permission check flaw, and provides step-by-step proof-of-concept exploitation using SharpSuccessor and Rubeus on Windows, and bloodyAD with impacket on Kali Linux.

Exploiting Resource-Based Constrained Delegation (RBCD)

Bài viết hướng dẫn chi tiết cách khai thác Resource-Based Constrained Delegation (RBCD) trong môi trường Active Directory, khác biệt với cơ chế ủy quyền cổ điển bằng cách chấp nhận ticket không chuyển tiếp (non-forwardable). Kẻ tấn công cần quyền ghi trên đối tượng máy tính và tài khoản có SPN (hoặc tạo mới qua MachineAccountQuota), sau đó sử dụng công cụ như Impacket, BloodyAD (Linux) hoặc Powermad, Rubeus (Windows) để tạo máy giả mạo, cấu hình RBCD, lấy ticket dịch vụ mạo danh quản trị viên, rồi chiếm quyền hoặc trích xuất thông tin đăng nhập.

Là một lập trình viên phát triển hệ thống an ninh hoặc nghiên cứu cơ sở hạ tầng Active Directory, bài viết này giúp bạn hiểu rõ cách khai thác lỗ hổng Constrained Delegation dựa trên tài nguyên để tấn công, từ đó cải thiện kiến thức bảo mật và xây dựng các giải pháp phòng thủ hiệu quả.

Post-Compromise Attacks in AD: Credential Validation with CrackMapExec

Bài viết hướng dẫn cơ bản về tấn công hậu xâm nhập (post-compromise) trong môi trường Active Directory (AD) bằng công cụ CrackMapExec. Nó trình bày cách xác thực thông tin đăng nhập đã bị đánh cắp qua giao thức SMB, trích xuất SAM hashes bằng flag --sam và Impacket's secretsdump, chiếm quyền điều khiển bằng psexec.py, cũng như bẻ khóa hash NTLM bằng Hashcat. Môi trường thí nghiệm sử dụng Windows Server 2016 cùng hai máy Windows Enterprise, trong đó thông tin đăng nhập ban đầu được thu thập thông qua kỹ thuật LLMNR poisoning.

Lập trình viên cần đọc bài này để hiểu cách thực hiện các cuộc tấn công sau khi chiếm quyền kiểm soát trong môi trường Active Directory, từ việc xác minh mật khẩu bị trộm bằng công cụ như CrackMapExec đến khai thác các hash mật khẩu NTLM, giúp nâng cao kiến thức về bảo mật hệ thống và chuẩn bị cho các thử nghiệm an ninh thực tế.

Demonstrating LLMNR Poisoning in Active Directory

Tấn công LLMNR poisoning trong môi trường Active Directory khai thác cơ chế dự phòng DNS khi người dùng nhập sai tên máy chủ, cho phép kẻ tấn công chặn yêu cầu bằng Responder, thu thập NTLMv2 hash, rồi bẻ khóa bằng Hashcat. Demo thực hiện trên Windows Server 2016 (domain controller) và Windows 10 Enterprise (client) trong môi trường ảo VMware.

Lập trình viên chuyên về bảo mật mạng nên đọc bài này để hiểu cách các cuộc tấn công dựa trên lỗ hổng LLMNR trong môi trường Active Directory, giúp họ phát triển các giải pháp bảo vệ và phát hiện an toàn cho hệ thống trong ứng dụng thực tế.

Certified AD Red Team Specialist (AD-RTS): Full Exam Write-Up

A detailed exam write-up for the CyberWarfare Labs AD-RTS (Active Directory Red Team Specialist) certification, covering two full adversary paths through a simulated telecom enterprise environment. Path 1 starts from zero credentials and chains DNS zone transfer abuse, ASREPRoasting, SQL Server xp_cmdshell, GodPotato privilege escalation, ADCS ESC1 certificate abuse, and VMware ESXi hypervisor pivoting to reach Domain Admin and guest VM code execution. Path 2 begins with a low-privilege IIS foothold and exploits ASP.NET ViewState deserialization via a leaked machine key, DPAPI-protected registry credentials, a second ESC1 ADCS template, Exchange ApplicationImpersonation abuse, and hardcoded credentials in scheduled task scripts. The write-up emphasizes understanding attack chains over individual exploits, and closes with defensive recommendations around certificate template hardening, credential hygiene, and RBAC scoping for Exchange impersonation roles.

Enable self-managed AD Kerberos authentication with Amazon RDS for Db2

Step-by-step guide for configuring Kerberos authentication on Amazon RDS for Db2 using a self-managed Active Directory. Covers creating a dedicated OU and service account, delegating nine specific AD permissions (including the non-obvious use of ADSI Edit for servicePrincipalName on User objects), storing credentials in a KMS-encrypted Secrets Manager secret, and validating the setup from a domain-joined Amazon Linux 2023 EC2 client. Also addresses networking requirements (DNS, Kerberos, LDAP, RPC dynamic ports) and common pitfalls like incorrect object scoping and username format in Secrets Manager.

Fantastic clear-text passwords and where to collect them (Part 2 - Windows)

A deep dive into alternative Windows credential theft techniques beyond LSASS dumping, covering both attacker and defender perspectives. Topics include quick wins like stealer logs, plaintext password files, PowerShell ConsoleHost history, and GPP cPassword vulnerabilities, as well as advanced techniques: registering malicious Security Support Provider (SSP) DLLs, Password Filter DLLs, and Network Provider DLLs to intercept cleartext credentials at login. Real incident response case examples illustrate each technique. Detection guidance covers Sysmon Event IDs 11 and 13 for registry and file monitoring, and hardening recommendations include disabling custom SSPs, auditing AD attributes, and using tools like Snaffler and Velociraptor.

From Bing Search to Ransomware: Bumblebee and AdaptixC2 Deliver Akira

A detailed forensic analysis of a multi-stage ransomware intrusion that began with SEO poisoning on Bing, luring users to a trojanized ManageEngine OpManager installer. The BumbleBee loader was deployed via DLL side-loading, followed by an AdaptixC2 beacon for persistent C2. Over five days, threat actors performed extensive credential harvesting (NTDS.dit, Veeam, LSASS), lateral movement via RDP and reverse SSH tunnels, and exfiltrated over 75GB of data via FileZilla/SFTP to a server in Ukraine. The intrusion concluded with Akira ransomware deployment across root and child domains, with Volume Shadow Copies deleted via WMI. A parallel Swisscom intrusion tied to the same campaign is also documented, including BYOVD attacks and Cloudflare tunnel persistence.

The OSCP Is a Mental Game

A first-person account of passing the OSCP certification after 3 months of preparation, emphasizing the mental resilience required over technical skill. Covers prep strategy using PEN-200, Proving Grounds, and AD-focused labs, key tools like netexec, BloodHound, mimikatz, and ligolo-ng, and a detailed walkthrough of the 24-hour exam experience including rabbit holes, strategic breaks, and a last-minute breakthrough that swung 50 points in 30 minutes.

From Code to Coverage (Part 6): What netlogon.log Sees That Event 1644 Never Will

A deep technical investigation into ldapnomnom, a tool that claims to generate no Windows audit logs while brute-forcing Active Directory usernames via LDAP Ping (cLDAP). Source code analysis reveals the tool actually uses TCP (not UDP), making it detectable via Event 5156 from the Windows Filtering Platform. The post explains why Event 1644 structurally cannot log LDAP Ping traffic (it bypasses the LDAP engine entirely, routing to netlogon.dll instead), while netlogon.log with debug logging captures every queried username. A key defender advantage: netlogon.log distinguishes disabled accounts from nonexistent ones, while attackers see identical responses for both. True UDP cLDAP (demonstrated with a custom cldap_ping.py) does evade Event 5156 but still appears in netlogon.log without source IP attribution. Microsoft Defender for Identity (MDI external ID 2437) can detect both TCP and UDP variants via packet capture but is threshold-based and bypassable with throttling. The recommended detection approach correlates netlogon.log usernames with Event 5156 source IPs using a 5-second timestamp window.

FortiBleed Targeted FortiGate Firewalls in 110 Million-Credential Harvesting Operation

A large-scale credential-harvesting campaign dubbed FortiBleed, attributed to a Russian-speaking initial access broker, has been targeting FortiGate firewalls since February 2026. The operation compromised over 430,000 devices globally using a Golang-based tool called FortigateSniffer, which abuses FortiOS's built-in diagnostic packet-sniffing capability to passively capture authentication traffic across 24 protocols. Over 110 million credentials were identified, including RADIUS credentials, NTLM hashes, Kerberos hashes, and MySQL tokens. Attackers then cracked and reused these credentials against Active Directory domains and other services. SMBs and IT service providers were primary targets. The campaign also extended to Synology NAS, Sophos firewalls, Citrix SSL-VPNs, and Microsoft SQL Server systems. CISOs are advised to rotate credentials, harden internet-facing access, enforce MFA, and hunt for signs of packet sniffing and lateral movement.

Inside FortiBleed: Reverse Engineering the CyberStrike Harvester Behind a Global FortiGate Credential Factory

Arctic Wolf Labs reverse-engineered the CyberStrike Harvester v1.5 binary (a Go-based Linux ELF) used in the FortiBleed campaign — a large-scale credential compromise operation targeting internet-facing Fortinet FortiGate firewalls across 194 countries. The campaign operates as a closed-loop credential pipeline: credential stuffing and password spraying gain initial access, FortiGate configurations and traffic captures are exported, the CyberStrike Harvester parses pcap/pcapng/FortiGate text to extract NetNTLM, Kerberos, cookies, and cleartext credentials, a Telegram-bot-orchestrated Hashcat/Hashtopolis GPU cluster cracks hashes, and Impacket-based tools then perform AD enumeration, SMB validation, and DFS file-share exfiltration (one logged run collected 121 GB). The operators prioritize targets by revenue and geography. Attribution remains low-confidence Russian-speaking based on tool branding, an operator handle, and Russian-language UI strings. Remediation requires immediate session termination, credential rotation, MFA enforcement, and specific FortiOS password-policy steps to eliminate legacy SHA-256 hashes from configuration exports.