BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_] [_][_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Abusando de SeTrustedCredmanAccessPrivilege para volcar las credenciales de usuario

El programa proporciona la capacidad de volcar las credenciales almacenadas que un usuario pueda tener en el Administrador de credenciales de Windows.

Es una técnica útil en los casos en los que existe una shell elevada y hay varios usuarios con sesión iniciada.

Pasos

1. Encuentra el proceso WinLogon correcto del usuario del que queremos volcar las credenciales
2. Abre el proceso WinLogon con acceso PROCESS_QUERY_LIMITED_INFORMATION
3. Duplica el token con acceso TOKEN_DUPLICATE
4. Convierte el token en token de suplantación
5. Habilita el permiso SeTrustedCredmanAccessPrivilege
6. Abre el proceso objetivo del usuario
7. Roba y suplanta al usuario objetivo
8. Llama a CredBackupCredentials mientras suplanta el token de WinLogon, pasando una ruta de escritura y una contraseña NULL para deshabilitar el cifrado del usuario
9. Mientras sigue suplantando, abre el archivo y lo descifra mediante la API CryptUnprotectData
10. Elimina el archivo

Uso

backupcreds [PID of target user] [path to save file]

Debe ejecutarse desde un contexto elevado.

OPSEC

Actualmente escribe en el disco en una ruta proporcionada por el operador. Eliminará la ruta una vez terminado. Accede a WinLogon.

Créditos

• Basado en https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Utiliza partes de SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• Un saludo a @eksperience por ayudar con el análisis y Nettitute RT