GhostKatz

Extrae credenciales de LSASS directamente desde la memoria física abusando de controladores vulnerables firmados con primitivas de lectura de memoria física a través de MmMapIoSpace, evadiendo las capacidades tradicionales de detección en modo usuario.

Esta herramienta fue desarrollada en colaboración entre Julian Peña y Eric Esquivel.

Esta versión de GhostKatz utiliza controladores que ya han sido divulgados públicamente como vulnerables. Para obtener los mejores resultados, GhostKatz está diseñado para operar con controladores de kernel que exponen primitivas de vulnerabilidad de lectura de memoria y que no están bloqueados durante la carga o no son conocidos públicamente. Esta versión pública no incluye explotaciones para controladores previamente no divulgados. En cambio, el proyecto está diseñado para ser modular y extensible, permitiendo a los usuarios investigar sus propios controladores e integrarlos extendiendo las funciones primitivas de lectura de memoria en utils.c. Internamente, hemos automatizado el proceso de descubrimiento y explotación y mantenemos varios controladores de kernel firmados con exploits escritos.

Si deseas contribuir, consulta la documentación de contribución.

¿Por qué hicimos GhostKatz?

Queríamos empezar a aprender cómo explotar controladores de kernel y pensamos que este sería un proyecto interesante. También nos inspiramos cuando vimos la herramienta KernelKatz de Outflank y queríamos usarla, pero no tenemos Outflank porque somos estudiantes. Así que hicimos la nuestra.

Uso

Ejecuta make para compilar los BOFs.

Carga el script de Agresor ghostkatz.cna en tu Administrador de Scripts.

Para ejecutar GhostKatz, usa el comando ghostkatz [logonpasswords/wdigest] -prv <id del proveedor>.

Puedes ejecutar el comando de ayuda en tu consola Beacon con: help ghostkatz.

beacon> help ghostkatz
Synopsis: ghostkatz [logonpasswords/wdigest] -prv <provider id>
Description:
  Dump credentials from LSASS by using signed kernel drivers to read physical memory.

Examples:
  ghostkatz logonpasswords -prv 1
  ghostkatz wdigest

Demostración

Versiones de Windows probadas

Estas son simplemente las versiones que probamos manualmente de forma intensiva. Las versiones principales como 1607 no deberían tener cambios drásticos en actualizaciones menores de compilación.

• Windows Server 2012 R2
  • Versión 6.3 (Compilación del SO: 9600)
• Windows Server 2016
  • Versión 1607 (Compilación del SO: 14393.693)
• Windows Server 2019
  • Versión 1809 (Compilación del SO: 17763.3650)
• Windows 10
  • Versión 21H2 (Compilación del SO: 19044.6809)
  • Versión 22H2 (Compilación del SO: 19045.6466)
• Windows Server 2022
  • Versión 21H2 (Compilación del SO: 20348.587)

[!WARNING] Aunque GhostKatz ha sido probado exhaustivamente, debes tener discreción si lo implementas en producción. GhostKatz utiliza controladores de kernel vulnerables. Es posible que errores resulten en un BSOD.

Proveedores

Controladores que pueden ser explotados con GhostKatz

Recursos

• Outflank - Mapeo de direcciones virtuales a físicas usando Superfetch
• UnknownCheats - [Información] NtQuerySystemInformation SystemSuperfetchInformation por Midi12
• Physical Graffiti Lsass
• Volcado de LSASS con WinDBG y PyKD
• Mimkatz estructuras, desplazamientos clave
• Volcado de credenciales de inicio de sesión MSV1
• XPN Explorando Mimikatz WDigest

Agradecimientos especiales

Gracias a ch3rn0byl y Cedric por su tiempo respondiendo las preguntas tontas que teníamos sobre el kernel, los controladores y Superfetch.