https://cyberveille.ch/tags/notwsuspicious/ Recent content in NotWSUSpicious on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-notwsuspicious-weaponisation-des-serveurs-wsus-via-prise-de-controle-de-la-base-sql/ Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-notwsuspicious-weaponisation-des-serveurs-wsus-via-prise-de-controle-de-la-base-sql/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d&rsquo;une série de recherches intitulée <em>Turning Enterprise Update Servers Into Backdoor Factories</em>. Il documente pas à pas l&rsquo;utilisation de <strong>NotWSUSpicious</strong>, un outil Python open source disponible sur GitHub.</p> <h2 id="-mécanisme-dattaque">⚙️ Mécanisme d&rsquo;attaque</h2> <p>L&rsquo;attaque repose sur une chaîne de compromission en plusieurs étapes :</p> <ol> <li><strong>Prérequis</strong> : le serveur WSUS doit être configuré avec une base <strong>MSSQL externe</strong> et l&rsquo;Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL.</li> <li><strong>Coercition d&rsquo;authentification</strong> : l&rsquo;outil <strong>PetitPotam</strong> est utilisé pour forcer le compte machine du serveur WSUS (<code>WSUS1$</code>) à s&rsquo;authentifier vers la machine de l&rsquo;attaquant via MS-EFSRPC.</li> <li><strong>Relais NTLM</strong> : <strong>Ntlmrelayx</strong> (Impacket) relaie l&rsquo;authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS.</li> <li><strong>Accès à la base SUSDB</strong> : via un proxy SOCKS (proxychains) et un <code>mssqlclient.py</code> modifié, l&rsquo;attaquant accède à la base <code>SUSDB</code>.</li> <li><strong>Création de fausses mises à jour</strong> : <strong>NotWSUSpicious.py</strong> génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique.</li> </ol> <h2 id="-fonctionnement-de-notwsuspicious">🛠️ Fonctionnement de NotWSUSpicious</h2> <ul> <li>Génère deux <strong>GUIDs</strong> pour les mises à jour parent et enfant</li> <li>Calcule la <strong>taille</strong>, le <strong>hash SHA1</strong> et le <strong>hash SHA256</strong> du payload</li> <li>Injecte les métadonnées dans les procédures stockées WSUS (<code>spImportUpdate</code>, <code>spSaveXmlFragment</code>)</li> <li>Paramètres clés : URL d&rsquo;hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible</li> </ul> <h2 id="-outils-impliqués">📦 Outils impliqués</h2> <ul> <li><strong>NotWSUSpicious</strong> (outil custom, Python 3.11)</li> <li><strong>PetitPotam</strong> (coercition MS-EFSRPC)</li> <li><strong>Ntlmrelayx</strong> / <strong>Impacket v0.13.0</strong> (relais NTLM + proxy SOCKS)</li> <li><strong>mssqlclient.py</strong> modifié (gestion des procédures stockées multi-résultats)</li> <li><strong>proxychains</strong> (tunneling via SOCKS)</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>publication de recherche offensive</strong> à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l&rsquo;exploitation des serveurs WSUS en environnement Active Directory d&rsquo;entreprise.</p>