SharpML

SharpML ist ein Proof of Concept-Tool zum Data Mining von Dateifreigaben unter Verwendung von maschinellem Lernen in Python und C#.

Das Tool wird in unserem Blog hier ausführlicher besprochen, ist aber nachfolgend zusammengefasst:

SharpML ist ein auf C# und Python basierendes Tool, das eine Reihe von Operationen durchführt, um Dateifreigaben zu durchsuchen, Active Directory nach Benutzern abzufragen, ein ML-Modell und zugehörige Regeln bereitzustellen, Active Directory-Authentifizierungsprüfungen durchzuführen – mit dem Ziel, die Suche nach Passwörtern in Dateifreigaben zu automatisieren, indem die gesammelten Daten in das ML-Modell eingespeist werden.

Das ML-Modell ist in Python geschrieben und wurde mit einem benutzerdefinierten Algorithmus entwickelt, um Passwortwahrscheinlichkeiten zu ermitteln. Das Modell wurde mit PyInstaller kompiliert und liegt als Ressourcendatei im C#-Wrapper vor, der zwischen sich selbst, den Daten und dem Modell vermittelt. Die Programmlogik ist unten dargestellt:

Derzeit kann eine einzelne Dateifreigabe bewertet werden.

Sie benötigen Lesezugriff auf die anvisierte Dateifreigabe, danach führt das Tool seine Aktivitäten weitgehend autonom durch.

Im Release-Bereich gibt es eine kompilierte Version. Es ist zu beachten, dass dieses Tool derzeit ein Proof of Concept ist und zahlreichen Verbesserungen unterliegt.

Verwendung:

cmd.exe

C:\> SharpML.exe -u \\fileshare\d$

Cobalt Strike

> execute-assembly SharpML.exe -u \\fileshare\d$

Autoren

Marco Valentini

Tom Kallo

To Do

• Wenn SharpML ausgeführt wird, versucht es, alle gefundenen Benutzer zu verifizieren. Falls eine restriktive Domänen-Sperrrichtlinie existiert, könnte es versuchen, Benutzer mehrfach zu verifizieren und das Konto bei mehreren fehlgeschlagenen Authentifizierungen sperren.
• Einige Dateigrößenbeschränkungen müssen implementiert werden, damit größere textbasierte Dateien keinen Engpass beim Kopieren der Rohdaten verursachen.
• Option zum gleichzeitigen Durchsuchen mehrerer Dateifreigaben auswählen. Durch die Implementierung eines automatischen Freigabesuch-Tools SharpML völlig autonom machen und das gesamte Netzwerk durchkämmen lassen.
• Verbesserung der Programmlogik, einschließlich weiterer Optionen wie der Wahl, ob gegen die 10.000 häufigsten Passwörter geprüft werden soll oder nicht.