wh0amitz/bypasscredguardCredential Guard-Bypass durch Patchen des Wdigest-Speichers
Adam Chester (@_xpn_) schrieb einen Artikel mit dem Titel „Exploring Mimikatz - Part 1 - WDigest“ über Memory-Patching, um UseLogonCredential zu aktivieren und Wdigest Klartext-Anmeldedaten zwischenspeichern zu lassen. Das hat mich fasziniert.
Das vom LSASS-Prozess geladene Modul wdigest.dll enthält zwei interessante globale Variablen: g_fParameter_useLogonCredential und g_IsCredGuardEnabled. Ihre Rolle ergibt sich bereits aus dem Namen: Erstere wird verwendet, um zu bestimmen, ob das Klartext-Passwort im Speicher abgelegt werden soll, Letztere enthält den Status von Windows Defender Credential Guard innerhalb des Moduls. Durch Patchen der Werte dieser beiden globalen Variablen im Speicher kann die Zwischenspeicherung von Wdigest-Klartext-Passwörtern auf Systemen mit Credential Guard aktiviert werden.
Für eine detailliertere Analyse lies bitte meinen Blog: „Revisiting a Credential Guard Bypass From Wdigest“
Führen Sie den von uns geschriebenen POC auf dem System mit aktiviertem Credential-Guard-Schutz aus. Wenn der Benutzer zur erneuten Anmeldung Benutzername und Passwort eingibt, erhalten wir sein Klartext-Passwort erneut, wie in der folgenden Abbildung gezeigt.
BypassCredGuard.exe
Tatsächlich veröffentlichte Team Hydra (@N4k3dTurtl3) bereits im August 2020 auf dem Blog einen Artikel mit dem Titel „Bypassing Credential Guard“, der diesen sehr klugen und einfachen Trick behandelt und ein konzeptionelles CredGuard_PoC bereitstellt, das jedoch nicht auf allen Windows-Systemen funktioniert.
Team Hydra reichte bei Microsoft einen Bericht zu diesem Problem ein und erhielt die folgende Antwort:
„Nach der Untersuchung dieses Problems glauben wir nicht, dass es sich um eine Umgehung von Credential Guard handelt. Credential Guard soll Anmeldedaten schützen, die zwischengespeichert wurden, während die Funktion aktiviert ist. Wenn ein privilegierter Benutzer Credential Guard deaktiviert, kann die Funktion nachfolgende Anmeldungen nicht schützen. Wir werden unsere öffentliche Dokumentation aktualisieren, um dieses Verhalten zu erläutern.“
Angesichts dieser Antwort vermute ich, dass dies auf absehbare Zeit eine zuverlässige Methode sein wird, um auf Systemen mit aktiviertem Credential Guard Klartext-Anmeldedaten zu erlangen.