ccob/volumiserCLI y consola interactiva para listar, explorar y extraer archivos de imágenes de discos de máquinas virtuales (VHDX, VMDK, instantáneas de EBS, discos raw) para la exfiltración de red team.
Volumiser es una herramienta de línea de comandos y una GUI de consola interactiva para listar, explorar y extraer archivos de formatos comunes de imágenes de discos duros de máquinas virtuales.
La herramienta fue escrita para combatir un problema habitual: las imágenes de disco masivas de más de 100 GB suelen ser difíciles de manejar o de extraer durante operaciones de red team. Aunque la herramienta fue creada para operaciones ofensivas, también tiene beneficios más allá de su propósito original.
Volumiser no sería posible sin el brillante proyecto DiscUtils, que hace la mayor parte del trabajo pesado analizando volúmenes y sistemas de archivos dentro de los discos virtuales. Aunque el soporte para volúmenes EBS es una funcionalidad añadida como parte de Volumiser, también se aprovecha esta excelente biblioteca para añadir este formato de imagen de disco en particular.
Volumiser admite los siguientes formatos de imagen de disco:
junto con los siguientes sistemas de archivos:
El modo interactivo se inicia proporcionando el argumento --image seguido de un archivo local o un ID de snapshot de EBS
Ejemplo de snapshot de EBS
Un snapshot de EBS se puede cargar mediante el protocolo EBS personalizado, que aprovecha la API directa de EBS para buscar y leer sectores de un volumen EBS. De forma predeterminada se utiliza el archivo de credenciales de AWS CLI para la autenticación; también se pueden especificar varias opciones de AWS mediante los argumentos --awsprofile, --awskey, --awssecret y --awsregion
Volumiser.exe --image "ebs://snap-12345675c8173707d"
Ejemplo de disco raw directo
Siempre que se tengan derechos de administrador, se puede acceder a los volúmenes de disco raw locales mediante el especificador de imagen \\.\PhysicalDriveX o \\.\C:. Cuando se utiliza el método PhysicalDrive, se analizan todos los volúmenes contenidos en todo el disco. En situaciones donde un volumen está cifrado con BitLocker, se puede cambiar al método de letra de unidad; este accederá al único volumen expuesto por la letra de unidad, que Windows descifrará automáticamente cuando se lean los sectores del volumen.
Lectura de todos los volúmenes presentes en la primera unidad física conectada al host
Volumiser.exe --image "\\.\PhysicalDrive0"
Lectura del único volumen asociado a la letra de unidad C: (use este método para volúmenes con BitLocker)
Volumiser.exe --image "\\.\C:"
Ejemplo de archivo de imagen local
También se pueden especificar imágenes de disco accesibles a través del sistema de archivos, incluidos archivos de recursos compartidos de red.
Volumiser.exe --image "c:\Virtual Machines\Domain Controller.vhdx"
En caso de que no se pueda utilizar la consola interactiva, Volumiser permite listar volúmenes y sistemas de archivos directamente mediante los argumentos --command y --path.
Listado de volúmenes
Los volúmenes contenidos en una imagen de disco pueden listarse usando el comando volumes
Volumiser.exe --image "c:\Virtual Machines\Domain Controller.vhdx" --command volumes
[+] Opened disk image, Size: 127GB
Volume ID: VLG{2d02912f-a98f-4074-aaee-c3444d01b43a}, Size: 100 MB, Type: Microsoft FAT
Volume ID: VLG{22956ef6-5b59-41f7-8751-8331c6183062}, Size: 16 MB, Type: Unknown
Volume ID: VLG{166c0197-909e-419d-a431-2d9b9df4d1fe}, Size: 129376 MB, Type: Microsoft NTFS
Volume ID: VLG{bdd5d39c-a214-4ac2-a6b9-2477fe02ffc1}, Size: 553 MB, Type: Microsoft NTFS
Listado del sistema de archivos
Una vez que se han descubierto los volúmenes, se puede listar el sistema de archivos de cada volumen
Volumiser.exe --image "c:\Virtual Machines\Domain Controller.vhdx" --command ls --path "VLG{166c0197-909e-419d-a431-2d9b9df4d1fe}:\Windows"
[+] Opened disk image, Size: 127GB
[+] Opened volume with ID VLG{166c0197-909e-419d-a431-2d9b9df4d1fe}
17/10/2022 18:51:29 DIR appcompat
17/10/2022 19:52:06 DIR apppatch
17/10/2022 18:59:17 DIR AppReadiness
17/10/2022 19:53:57 DIR assembly
14/05/2022 09:26:58 DIR bcastdvr
14/05/2022 09:42:31 DIR Boot
14/05/2022 09:26:54 DIR Branding
14/05/2022 11:35:21 DIR BrowserCor
...
"Descarga" de archivos
Los archivos se pueden "descargar" a su máquina local usando el comando download
Volumiser.exe --image "c:\Virtual Machines\Domain Controller.vhdx" --command download --path "VLG{166c0197-909e-419d-a431-2d9b9df4d1fe}:\Windows\system32\config\SYSTEM"
[+] Opened disk image, Size: 127GB
[+] Opened volume with ID VLG{166c0197-909e-419d-a431-2d9b9df4d1fe}
[+] Opened file with path \Windows\System32\config\SYSTEM for with size: 12058624