Silhouette

Von Gabriel Landau und Mark Mager bei Elastic Security.

Von Hide Your Valuables — Mitigating Physical Credential Dumping Attacks, vorgestellt auf der Shmoocon 2023. Folien hier.

LSA-Geheimnisse aus dem physischen Speicher heraushalten

Silhouette ist ein POC, der die Nutzung von physischem Speicher zum Auslesen von Anmeldeinformationen aus LSASS entschärft. Dies geschieht auf drei Arten:

1. LSASS-Seiten aggressiv aus dem RAM auf die Festplatte auslagern.
2. Den direkten Datenträgerzugriff innerhalb des Startvolumes blockieren, um Raw-Copy-Angriffe gegen pagefile.sys und hiberfil.sys zu verhindern (z. B. Invoke-NinjaCopy).
3. FILE_READ_DATA für pagefile.sys in allen Volume-Shadow-Copy-Snapshots blockieren, um den Zugriff mit Tools wie hobocopy zu blockieren.

Es wird dringend empfohlen, RunAsPPL zu aktivieren, bevor Sie Silhouette verwenden.

Erstellen und Ausführen

Dies ist ein Proof-of-Concept. Die Nutzung erfolgt auf eigene Gefahr.

1. Erstellen Sie Silhouette.sln mit Visual Studio 2019. Das WDK ist erforderlich. Es wurde ursprünglich mit dem Win11 21H2 WDK entwickelt.
2. Aktivieren Sie die Testsignierung.
3. Registrieren Sie den Dienst:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Fügen Sie die Minifilter-Schlüssel hinzu:

reg import FilterKeys.reg

5. Starten Sie den Dienst:

sc start Silhouette

Lizenz

Silhouette unterliegt der ELv2-Lizenz. Es verwendet phnt von SystemInformer unter der MIT-Lizenz.