Le projet LaZagne !!!

==

Description

Le projet LaZagne est de retour !!!

LaZagne utilise une fonction interne de Windows appelée CryptUnprotectData pour déchiffrer les mots de passe des utilisateurs. Cette API doit être appelée depuis la session de l'utilisateur victime, sinon elle ne fonctionne pas. Si l'ordinateur n'a pas été démarré (lorsque l'analyse est réalisée sur un disque monté hors ligne), ou si nous ne voulons pas déposer un binaire sur la machine distante, aucun mot de passe ne peut être récupéré.

LaZagneForensic a été créé pour éviter ce problème. Ce travail s'est principalement inspiré de l'excellent travail réalisé par Jean-Michel Picod et Elie Bursztein pour DPAPICK et par Francesco Picasso pour Windows DPAPI laboratory.

Note : Le principal problème est que pour déchiffrer ces mots de passe, le mot de passe Windows de l'utilisateur est nécessaire.

Installation

• Nécessite python2 (Pas compatible avec python3)
• Nécessite pip2 : si non installé :

  sudo wget https://bootstrap.pypa.io/pip/2.7/get-pip.py
  sudo python2 ./get-pip.py
  

sudo apt install python2-dev
pip2 install markerlib
pip2 install distribute
pip2 install -r requirements.txt

Utilisation

Première méthode - Récupérer les fichiers de configuration depuis la machine distante

• En utilisant le script PowerShell

PS C:\Users\test\Desktop> Import-Module .\dump.ps1
PS C:\Users\test\Desktop> Dump
Folder dump created successfully !

• En utilisant le script Python

python dump.py

• Lancez LaZagne avec le mot de passe si vous l'avez

python laZagneForensic.py all -remote /tmp/dump -password 'ZapataVive'

• Lancez LaZagne sans mot de passe

python laZagneForensic.py all -remote /tmp/dump

Deuxième méthode - Monter un disque sur votre système de fichiers

• Le fichier doit être monté sur votre système de fichiers

test:~$ ls /tmp/disk/
total 769M
drwxr-xr-x 2 root root    0 févr.  1 14:05 ProgramData
-rwxr-xr-x 1 root root 256M févr.  1 14:05 swapfile.sys
-rwxr-xr-x 1 root root 512M févr.  1 14:05 pagefile.sys
drwxr-xr-x 2 root root    0 janv. 31 00:35 System Volume Information
dr-xr-xr-x 2 root root    0 janv. 26 10:17 Program Files (x86)
dr-xr-xr-x 2 root root    0 janv. 25 18:13 Program Files
drwxr-xr-x 2 root root    0 janv. 19 10:09 Windows
drwxr-xr-x 2 root root    0 janv. 16 15:52 Homeware
drwxr-xr-x 2 root root    0 janv.  9 17:33 PerfLogs
drwxr-xr-x 2 root root    0 nov.  22 20:37 Recovery
drwxr-xr-x 2 root root 4,0K nov.  22 20:31 Documents and Settings
dr-xr-xr-x 2 root root    0 nov.  22 20:31 Users

• Lancez LaZagne avec le mot de passe si vous l'avez

python laZagneForensic.py all -local /tmp/disk -password 'ZapataVive'

• Lancez LaZagne sans mot de passe

python laZagneForensic.py all -local /tmp/disk

Note : Utilisez -v pour le mode verbeux et -vv pour le mode débogage.

Logiciels supportés

Note : Consultez l'image suivante pour comprendre quels mots de passe vous pouvez déchiffrer sans avoir besoin du mot de passe Windows de l'utilisateur. Tous les identifiants trouvés seront testés comme mot de passe Windows au cas où l'utilisateur réutiliserait le même mot de passe.

Don

N'hésitez pas à soutenir mon travail en faisant un don, je l'apprécierai beaucoup :

• Via BTC: 16zJ9wTXU4f1qfMLiWvdY3woUHtEBxyriu

Remerciements particuliers

• Jean-Michel Picod et Elie Bursztein pour DPAPICK
• Francesco Picasso pour Windows DPAPI laboratory
• Jean-Christophe Delaunay - Jiss/Fist0urs de l'équipe Synacktiv pour leur travail

Articles recommandés liés à DPAPI

• Joyeux DPAPI!
• ReVaulting ! Déchiffrement et opportunités
• Windows ReVaulting
• Exploitation DPAPI lors de tests d'intrusion et craquage de mots de passe

---

Alessandro ZANNI
[email protected]