La fuite d'identifiants en mémoire peut être extraite et découverte par deux méthodes : • Compte qui a été authentifié dans le logiciel au moins une fois ; • Compte qui n'a jamais été authentifié dans le logiciel, mais où un attaquant est en mesure de déclencher l'allocation mémoire en utilisant la fonction « Mot de passe oublié ? » ;

L'application s'exécute au démarrage du système

Si le compte a été authentifié au moins une fois dans le logiciel installé sur le système auquel nous avons un accès local :

Compte qui a été authentifié dans le logiciel au moins une fois :

Recherche du nom d'utilisateur « test » et de la partie aléatoire associée « YuYRV6 » qui a été ajoutée au nom d'utilisateur. Comme on peut le voir, une chaîne aléatoire « YuYRV6 » a été ajoutée au nom d'utilisateur test, qui peut être utilisée pour trouver le mot de passe associé.

Recherche de « YuYRV6 » dans la mémoire extraite, qui devrait être ajouté au mot de passe associé au compte « test »

Extraction du mot de passe du compte « test »

Il semble que « Test123! » soit le mot de passe du compte test. Si un compte n'a jamais été authentifié dans le logiciel, un attaquant est en mesure de déclencher l'allocation mémoire en utilisant la fonction « Mot de passe oublié ? », puis d'extraire les identifiants divulgués en mémoire : S'il existe un compte qui n'a jamais été authentifié dans le logiciel, nous pouvons déclencher l'allocation des données en mémoire par le logiciel en utilisant la fonction « Mot de passe oublié ? » :

Utilisation de la fonction de récupération de mot de passe pour l'utilisateur Administrateur

Le logiciel n'a pas pu envoyer l'e-mail de récupération de mot de passe

Extraction de la mémoire allouée à ASManagerService.exe et filtrage avec le motif « bstrpassword »

Mot de passe Administrateur divulgué en mémoire

Il semble que « StrongestPass@999 » soit le mot de passe du compte Administrateur.

Contact

Si vous avez une question, vous pouvez me contacter, Giorgi Dograshvili sur LinkedIn.