Silhouette

بقلم Gabriel Landau وMark Mager من Elastic Security.

من أخفِ أشياءك الثمينة — تخفيف هجمات تفريغ بيانات الاعتماد المادية والتي عُرضت في Shmoocon 2023. الشرائح هنا.

إبقاء أسرار LSA خارج الذاكرة الفعلية

Silhouette هو POC يخفف من استخدام الذاكرة الفعلية لتفريغ بيانات الاعتماد من LSASS. وهو يفعل ذلك بثلاث طرق:

1. فرّغ صفحات LSASS بقوة من الذاكرة إلى القرص.
2. احظر الوصول الخام إلى القرص داخل وحدة تخزين التمهيد، مما يمنع هجمات النسخ الخام ضد pagefile.sys وhiberfil.sys (مثل Invoke-NinjaCopy).
3. احظر FILE_READ_DATA الخاص بـ pagefile.sys في جميع لقطات Volume Shadow Copy لمنع الوصول باستخدام أدوات مثل hobocopy.

يُنصح بشدة بتمكين RunAsPPL قبل استخدام Silhouette.

البناء وتشغيله

هذا نموذج إثبات مفهوم. استخدمه على مسؤوليتك الخاصة.

1. قم بترجمة Silhouette.sln باستخدام Visual Studio 2019. WDK مطلوب. تم تطويره في الأصل باستخدام Win11 21H2 WDK.
2. فعّل التوقيع الاختباري.
3. سجّل الخدمة:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. أضف مفاتيح Minifilter:

reg import FilterKeys.reg

5. شغّل الخدمة:

sc start Silhouette

الترخيص

يخضع Silhouette إلى ترخيص ELv2. وهو يستخدم phnt من SystemInformer بموجب ترخيص MIT.