blindsight

« Il n'existe pas de survie du plus apte.
Survie du plus adéquat, peut-être.
Peu importe qu'une solution soit optimale.
Tout ce qui compte, c'est qu'elle batte l'alternative. »

-- Peter Watts, Blindsight (2006)

Outil de red team pour extraire la mémoire de LSASS, en contournant les contre-mesures de base. Il utilise NTFS transactionnel (API TxF) pour brouiller de manière transparente le dump mémoire, afin d'éviter de déclencher les AV/EDR/XDR.

Article

• https://hnsecurity.it/blog/an-offensive-rust-encore

Voir aussi

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Compilation croisée (exemple macOS)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Utilisation

Dans une fenêtre PowerShell avec les droits Administrateur :

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Exemples

Dumper la mémoire de LSASS :

C:\> .\blindsight.exe

Désembrouiller le dump mémoire :

C:\> .\blindsight.exe 29ABE9Hy.log

Testé sur

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] À ne pas tester sur des serveurs de production, car l'accès à LSASS peut provoquer une instabilité du système !

TODO

• Optimiser l'utilisation mémoire (corrompre simplement les « magic bytes » au lieu de faire un XOR ?)
• Utiliser litcrypt2 ou un outil similaire pour chiffrer les chaînes localement
• Permettre de spécifier manuellement le PID de LSASS pour éviter les scans de processus bruyants
• Éviter d'ouvrir directement le handle de LSASS (par exemple, via PssCaptureSnapshot)
• Utiliser https://github.com/Kudaes/DInvoke_rs ou un outil similaire pour l'évasion des hooks API
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Implémenter des canaux d'exfiltration sans fichier (par exemple, TFTP, FTP, HTTP...)
• Envisager de faire le dump en mémoire à l'aide de callbacks minidump plutôt que de l'API TxF
• https://adepts.of0x.cc/hookson-hootoff/
• Envisager une meilleure gestion de la ligne de commande si le minimalisme ne suffit pas