GPP-Decrypt: Recuperar Contraseñas GPP

 

 https://www.onlinetis.com

GPP-Decrypt: Recuperar Contraseñas GPP

La herramienta gpp-decrypt en Kali Linux se utiliza para recuperar contraseñas de texto claro a partir de archivos de configuración de Preferencias de Directiva de Grupo (GPP) en entornos de Active Directory.

Aquí tienes una guía detallada sobre qué es, por qué existe y cómo usarla.

---

¿Por qué funciona gpp-decrypt?

Antiguamente, los administradores de Windows podían configurar usuarios locales o cambiar contraseñas de administrador mediante GPP. Estos datos se guardaban en archivos XML (como Groups.xml) dentro de la carpeta SYSVOL del Controlador de Dominio.

Aunque la contraseña estaba "cifrada" en AES de 256 bits, Microsoft publicó accidentalmente la clave privada en su sitio web de MSDN. Esto significa que cualquier usuario del dominio con acceso de lectura a SYSVOL puede descifrar esas contraseñas.

Cómo usar gpp-decrypt

Si durante una auditoría o prueba de penetración encuentras un archivo .xml con el atributo cpassword, sigue estos pasos:

1. Localizar el archivo XML

Normalmente, los archivos vulnerables se encuentran en una ruta similar a esta dentro del controlador de dominio:

\\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\{GUID}\Machine\Preferences\Groups\Groups.xml

2. Identificar la cadena cpassword

Dentro del archivo verás algo como esto:

XML

<User inline="1" changed="2023-01-10" name="AdminLocal" ... 
  cpassword="j3S6S0+8tyX7S8Q8V1lk7S98u3B8yXj..." />

3. Ejecutar el descifrado

Copia el valor que aparece en cpassword y pásalo como argumento a la herramienta en tu terminal de Kali:

Bash

gpp-decrypt j3S6S0+8tyX7S8Q8V1lk7S98u3B8yXj...

Resultado: La terminal te devolverá la contraseña en texto plano de forma inmediata.

---

Mitigación (Cómo arreglarlo)

Si encuentras esto en una red que estás auditando, la recomendación es:

1. Instalar el parche MS14-025, que evita que se guarden nuevas contraseñas en GPP.

2. Eliminar los archivos XML antiguos que contengan el atributo cpassword en la carpeta SYSVOL.

3. Cambiar las contraseñas que fueron expuestas, ya que ahora deben considerarse comprometidas.