blindsight

"Es gibt so etwas wie das Überleben des Tüchtigsten nicht.
Vielleicht das Überleben des Geeignetsten.
Es spielt keine Rolle, ob eine Lösung optimal ist.
Alles, was zählt, ist, ob sie die Alternative schlägt."

-- Peter Watts, Blindsight (2006)

Red-Teaming-Werkzeug zum Auslesen (Dump) des LSASS-Speichers, das grundlegende Gegenmaßnahmen umgeht. Es verwendet Transactional NTFS (TxF-API), um den Speicherdump transparent zu verschlüsseln und so AV/EDR/XDR zu vermeiden.

Artikel

• https://hnsecurity.it/blog/an-offensive-rust-encore

Siehe auch

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Cross-Kompilierung (macOS-Beispiel)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Verwendung

In einem PowerShell-Fenster mit Administratorrechten:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Beispiele

LSASS-Speicher auslesen (Dump):

C:\> .\blindsight.exe

Speicherdump entschlüsseln:

C:\> .\blindsight.exe 29ABE9Hy.log

Getestet auf

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] Nicht auf Produktionsservern testen, da der Zugriff auf LSASS Systeminstabilitäten verursachen kann!

TODO

• Speichernutzung optimieren (statt XOR einfach die "Magic Bytes" beschädigen?)
• litcrypt2 oder Ähnliches verwenden, um Strings lokal zu verschlüsseln
• Manuelle Angabe der LSASS-PID ermöglichen, um laute Prozess-Scans zu vermeiden
• Vermeiden, das LSASS-Handle direkt zu öffnen (z. B. über PssCaptureSnapshot)
• https://github.com/Kudaes/DInvoke_rs oder Ähnliches zur Umgehung von API-Hooks verwenden
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Fileless-Exfiltrationskanäle implementieren (z. B. TFTP, FTP, HTTP...)
• In Betracht ziehen, mit Minidump-Callbacks statt der TxF-API in den Speicher zu dumpen
• https://adepts.of0x.cc/hookson-hootoff/
• Eine bessere Kommandozeilenverarbeitung in Betracht ziehen, falls das Minimum nicht ausreicht