KslKatzBOF

Un archivo de objeto Beacon (BOF) para la extracción en línea de credenciales de LSASS desde C2 utilizando la técnica BYOVD de KslD.sys.

Este proyecto se basa en la publicación del blog: https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team

Atribución

Este BOF se basa en KslKatz (Maximilian Barz), que a su vez se apoya en dos proyectos fundamentales:

• KslDump – Acceso a la memoria física BYOVD a través de KslD.sys (el controlador del kernel de Microsoft Defender)
• GhostKatz – Extracción de LSASS basada en BOF a través de la memoria física

Además, la fuente principal de la vulnerabilidad parece ser maxkray13 y su proyecto, Defender

Qué Hace

Extrae credenciales de LSASS protegido por PPL sin inyectarse en el proceso, utilizando solo componentes firmados por Microsoft ya presentes en el disco:

• MSV1_0 — Hashes NT por sesión de inicio de sesión
• WDigest — Contraseñas en texto claro (cuando el almacenamiento en caché está habilitado)

Compilación

make

Produce bin/kslkatzbof.x64.o.

Uso

Cargue el BOF usando su cargador de BOF preferido.

Aviso legal

Solo para pruebas de seguridad autorizadas. El uso indebido de esta herramienta contra sistemas sin permiso explícito es ilegal.