blindsight

"No existe la supervivencia del más apto.
Supervivencia del más adecuado, quizás.
No importa si una solución es óptima.
Lo único que importa es si supera a la alternativa."

-- Peter Watts, Blindsight (2006)

Herramienta de red team para volcar la memoria de LSASS, evadiendo contramedidas básicas. Utiliza NTFS transaccional (API TxF) para ofuscar de forma transparente el volcado de memoria, con el fin de evitar activar AV/EDR/XDR.

Artículo

• https://hnsecurity.it/blog/an-offensive-rust-encore

Véase también

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Compilación cruzada (ejemplo en macOS)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Uso

Dentro de una ventana de PowerShell como Administrador:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Ejemplos

Volcar la memoria de LSASS:

C:\> .\blindsight.exe

Desofuscar el volcado de memoria:

C:\> .\blindsight.exe 29ABE9Hy.log

Probado en

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] No probar en servidores de producción, ya que el acceso a LSASS podría causar inestabilidad del sistema.

Tareas pendientes

• Optimizar el uso de memoria (¿simplemente corromper los "magic bytes" en lugar de aplicar XOR?)
• Usar litcrypt2 o similar para cifrar las cadenas localmente
• Permitir especificar manualmente el PID de LSASS para evitar escaneos ruidosos de procesos
• Evitar abrir directamente el handle de LSASS (p. ej., mediante PssCaptureSnapshot)
• Usar https://github.com/Kudaes/DInvoke_rs o similar para evadir los hooks de API
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Implementar canales de exfiltración sin archivos (p. ej., TFTP, FTP, HTTP...)
• Considerar volcar a memoria mediante callbacks de minidump en lugar de la API TxF
• https://adepts.of0x.cc/hookson-hootoff/
• Considerar un mejor manejo de la línea de comandos si el mínimo no es suficiente