laokoon-security/cortex-xdr-config-extractorAnalysiert die Datenbanksperrdateien des Cortex XDR-Agenten, um Agenteneinstellungen, Passwort-Hash/Salt für die Deinstallation sowie Sicherheitsausschlüsse für Red-Team-Bewertungen und Konfigurationsprüfungen zu extrahieren.
⚠️ Weitere Informationen finden Sie unter https://laokoon-security.com/cortex-xdr-config-exctractor/ (derzeit nur auf Deutsch)
Dieses Tool ist für den Einsatz bei Red Team Assessments und zur Überprüfung der XDR-Einstellungen gedacht.
Mit diesem Tool ist es möglich, die Datenbank-Sperrdateien des Cortex XDR Agenten von Palo Alto Networks zu parsen und Agenteneinstellungen, den Hash und Salt des Deinstallations-Passworts sowie mögliche Ausschlüsse zu extrahieren.
Usage = ./XDRConfExtractor.py [Dateiname].ldb
Help = ./XDRConfExtractor.py -h
Bei Agentenversionen vor 7.8 kann jeder authentifizierte Benutzer unter Windows über die Cortex XDR-Konsole in der Taskleiste eine Support-Datei erstellen. Die Datenbank-Sperrdateien befinden sich im Zip-Archiv:
logs_[ID].zip\Persistence\agent_settings.db\
Support-Dateien von Agenten mit Version 7.8 oder höher sind verschlüsselt. Falls Sie jedoch erweiterte Berechtigungen auf dem Windows-Rechner haben, können die Dateien direkt aus dem folgenden Verzeichnis ohne Verschlüsselung kopiert werden.
C:\ProgramData\Cyvera\LocalSystem\Persistence\agent_settings.db\
Generierte Support-Dateien werden nicht regelmäßig gelöscht, daher ist es möglicherweise möglich, alte, unverschlüsselte Support-Dateien im folgenden Ordner zu finden:
C:\Users\[Benutzername]\AppData\Roaming\PaloAltoNetworks\Traps\support\
Angeblich sollte es seit Agentenversion 8.1 nicht mehr möglich sein, die Daten aus den Sperrdateien zu extrahieren. Dies wurde noch nicht getestet.
Dieses Tool verwendet eine Technik, die ursprünglich von mr.d0x im April 2022 veröffentlicht wurde. https://mrd0x.com/cortex-xdr-analysis-and-bypass/
Die Verwendung von Cortex-XDR-Config-Extractor zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden. Nur für Bildungszwecke verwenden.