almounah/silphStealthy In-Memory Local Password Harvester (SILPH) Tool: LSA, SAM und DCC2 mit indirektem Syscall auslesen
SILPH ist ein Open-Source-Red-Team-Tool, das LSA-Geheimnisse, SAM-Hashes und DCC2-Anmeldedaten ausschließlich im Arbeitsspeicher ausliest, ohne Dateien auf die Festplatte zu schreiben.
Anders als das übergeordnete Projekt go-secdump ist SILPH für die Integration in das Orsted C2 Framework konzipiert und soll direkt auf einem Windows-Host ausgeführt werden, ohne einen Dienst über RPC erstellen zu müssen.
Zuerst klonen und kompilieren (dafür wird go benötigt):
git clone [email protected]:almounah/silph.git
cd silph
GOOS=windows GOARCH=amd64 go build -trimpath -ldflags="-s -w"
Dann silph.exe ausführen.
PS C:\Users\haroun> Z:\silph.exe
███████╗██╗██╗ ██████╗ ██╗ ██╗
██╔════╝██║██║ ██╔══██╗██║ ██║
███████╗██║██║ ██████╔╝███████║
╚════██║██║██║ ██╔═══╝ ██╔══██║
███████║██║███████╗██║ ██║ ██║
╚══════╝╚═╝╚══════╝╚═╝ ╚═╝ ╚═╝
Heimlicher Passwort-Harvester im Arbeitsspeicher
"Well… I think I wanted to be like Eris."
Verwendung: Z:\silph.exe [Optionen]
-dcc2
dcc2 auslesen
-lsa
lsa auslesen
-sam
sam auslesen
Ein neues silph-Modul wird bald zum Orsted C2 hinzugefügt. Siehe die Orsted-Dokumentation zur Verwendung.
Ich wollte ein Tool, das in meinen C2 integriert werden kann, um SAM und LSA auszulesen.
Das Problem war, dass ich keine Tools fand (oder sie zumindest übersehen habe), die dies unter Einhaltung dieser zwei Bedingungen tun:
Außerdem fand ich während meiner Recherche einen sehr interessanten Artikel: https://g3tsyst3m.com/threat%20hunting/Detecting-SAM-registry-hive-dumps-using-Elastic!/.
Im Wesentlichen zeigt der Autor, wie durch Aktivierung bestimmter Optionen ein Ereignis ausgelöst wird, das Blau-Team-Mitgliedern mitteilt, dass SAM ausgelesen wird. Er leitete dieses Ereignis dann an Elastic weiter. Sie können das ausgelöste Ereignis hier sehen:
Der im Artikel bereitgestellte Python-Code, der das Ereignis generiert, verwendet RegOpenKeyEx und RegSaveKeyEx.
Es gibt zahlreiche Techniken zum Auslesen sensibler Windows-Registrierungsstrukturen. Übliche Ansätze umfassen Hilfsprogramme und BOFs, die die SAM-, SYSTEM- und SECURITY-Strukturen mit Tools wie dem reg-Befehl oder benutzerdefinierten Skripten auf die Festplatte speichern.
Ein anderer Ansatz besteht darin, eine Volume-Schattenkopie zu erstellen und die Registrierungsstrukturen aus dem Snapshot zu extrahieren.
go-secdump führte eine andere Technik ein. Bei seiner ersten Veröffentlichung im Jahr 2023 basierte es auf einem Dienst, der die Registry-DACLs modifizierte, um sich selbst ausreichenden Zugriff zu gewähren. Dadurch konnte der Dienst Unterschlüssel auflisten und deren Namen und Werte abfragen, was die Wiederherstellung von Klartext-Geheimnissen ermöglichte.
Die Windows-Registrierungs-APIs zum Auflisten von Schlüsseln und Werten arbeiten mit Registry-Handles und nicht mit dateibasierten Objekten, sodass diese Vorgänge ohne Schreiben von Daten auf die Festplatte durchgeführt werden können.
Im Jahr 2025 reichte Synacktiv einen Pull-Request für Impacket ein und führte regsecrets.py ein, das einen ähnlichen Ansatz implementiert. Im Gegensatz zu go-secdump vermeidet diese Methode die Änderung von DACLs, indem sie Registry-Handles mit dem Flag REG_OPTION_BACKUP_RESTORE öffnet, das die erforderlichen Berechtigungen zum Auflisten und Abfragen gewährt.
SILPH folgt diesem Ansatz, indem es REG_OPTION_BACKUP_RESTORE über native NT-Aufrufe verwendet, die aus ntdll aufgelöst werden, und nutzt das Superdeye-Projekt für indirekte Syscalls. Da SILPH für die lokale Ausführung auf dem Zielsystem konzipiert ist, ist keine Diensterstellung erforderlich, wodurch potenzielle netzwerkbasierte Erkennungen im Zusammenhang mit entfernten Tools wie Impacket reduziert werden.
Während der Tests erzeugte die Ausführung von SILPH unter denselben Bedingungen wie zuvor keine zusätzlichen Windows-Ereignisprotokolleinträge im Vergleich zur Basisausführung.
SILPH ist nach Sylphiette aus Mushoku Tensei benannt.
Früh in ihrem Leben wird Sylphiette aufgrund ihrer grünen Haare isoliert und gemobbt, was andere dazu bringt, sie mit der gefürchteten Superd-Rasse zu assoziieren. Anstatt diese Situation durch Gewalt oder Status zu überwinden, wächst sie durch Lernen, Ausdauer und Führung und entwickelt allmählich Disziplin und Kontrolle.
Dies spiegelt SILPHs Designphilosophie wider: ein in sich geschlossenes Tool, das leise arbeitet, vollständig im Arbeitsspeicher ausgeführt wird und sich nahtlos integriert, ohne bleibende Spuren zu hinterlassen.