Cortex XDR Config Extractor

⚠️ Para más información, visite https://laokoon-security.com/cortex-xdr-config-exctractor/ (actualmente solo en alemán)

Esta herramienta está diseñada para ser utilizada durante evaluaciones de Red Team y para auditar la configuración de XDR.

Con esta herramienta es posible analizar los Database Lock Files del Cortex XDR Agent de Palo Alto Networks y extraer Agent Settings, el Hash and Salt de la Uninstall Password, así como posibles Exclusions.

Extracciones compatibles

• Hash y Salt de la contraseña de desinstalación
• Nombres de firmantes excluidos
• Exclusiones y configuraciones de seguridad de DLL
• Exclusiones y configuraciones de seguridad de PE
• Exclusiones y configuraciones de seguridad de archivos de Office
• Exclusiones del módulo de recolección de credenciales
• Exclusiones del módulo de protección de webshell
• Exclusiones de cadena de ejecución de procesos secundarios
• Exclusiones del módulo de amenazas de comportamiento
• Exclusiones del módulo de escaneo de malware local
• Estado del módulo de protección de memoria
• Exclusiones de hash globales
• Modo y configuraciones del módulo de protección contra ransomware

Uso

Usage = ./XDRConfExtractor.py [Filename].ldb
Help  = ./XDRConfExtractor.py -h

Cómo obtener los Database Lock Files

Versión del agente <7.8

Con versiones de agente anteriores a 7.8, cualquier usuario autenticado puede generar un archivo de soporte en Windows a través de la consola de Cortex XDR en la bandeja del sistema. Los archivos de bloqueo de la base de datos se pueden encontrar dentro del zip:

logs_[ID].zip\Persistence\agent_settings.db\

Versión del agente ≥7.8

Los archivos de soporte de agentes que ejecutan la versión 7.8 o superior están encriptados, pero si tienes privilegios elevados en la máquina Windows, los archivos se pueden copiar directamente del siguiente directorio, sin encriptación.

Método I

C:\ProgramData\Cyvera\LocalSystem\Persistence\agent_settings.db\

Método II

Los archivos de soporte generados no se eliminan regularmente, por lo que podría ser posible encontrar archivos de soporte antiguos y no encriptados en la siguiente carpeta:

C:\Users\[Username]\AppData\Roaming\PaloAltoNetworks\Traps\support\

Versión del agente >8.1

Supuestamente, desde la versión 8.1 del agente, ya no debería ser posible extraer los datos de los archivos de bloqueo. Esto aún no se ha probado.

Créditos

Esta herramienta se basa en una técnica publicada originalmente por mr.d0x en abril de 2022 https://mrd0x.com/cortex-xdr-analysis-and-bypass/

Aviso legal

El uso de Cortex-XDR-Config-Extractor para atacar objetivos sin consentimiento mutuo previo es ilegal. Es responsabilidad del usuario final cumplir con todas las leyes locales, estatales y federales aplicables. Los desarrolladores no asumen ninguna responsabilidad y no son responsables por el mal uso o daños causados por este programa. Úselo solo con fines educativos.