Silhouette

Por Gabriel Landau y Mark Mager en Elastic Security.

De Hide Your Valuables — Mitigating Physical Credential Dumping Attacks presentado en Shmoocon 2023. Diapositivas aquí.

Manteniendo los secretos de LSA fuera de la memoria física

Silhouette es un POC que mitiga el uso de memoria física para volcar credenciales de LSASS. Lo hace de tres maneras:

1. Vacía de forma agresiva las páginas de LSASS de la RAM al disco.
2. Bloquea el acceso directo al disco dentro del volumen de arranque, evitando ataques de copia cruda contra pagefile.sys y hiberfil.sys (p. ej. Invoke-NinjaCopy).
3. Bloquea FILE_READ_DATA para pagefile.sys en todas las instantáneas de Volume Shadow Copy para bloquear el acceso con herramientas como hobocopy.

Se recomienda encarecidamente habilitar RunAsPPL antes de usar Silhouette.

Compilarlo y ejecutarlo

Esto es una prueba de concepto. Úsalo bajo tu propio riesgo.

1. Compila Silhouette.sln con Visual Studio 2019. Se requiere el WDK. Originalmente fue desarrollado con el WDK de Win11 21H2.
2. Habilita Test Signing.
3. Registra el servicio:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Añade las claves de Minifilter:

reg import FilterKeys.reg

5. Inicia el servicio:

sc start Silhouette

Licencia

Silhouette está cubierto por la licencia ELv2. Utiliza phnt de SystemInformer bajo la licencia MIT.