DumpGuard

DumpGuard est un outil d'extraction d'identifiants et de recherche de protocoles pour les systèmes Windows modernes. Il abuse du protocole Remote Credential Guard pour récupérer des informations d'identification même lorsque Credential Guard est activé, et inclut également un chemin de package d'authentification Microsoft v1 pour l'extraction NTLM orientée session.

Les fonctionnalités actuelles incluent :

• Réponses NTLMv1
• Réponses NTLMv2
• Tickets de service Kerberos
• Extraction du package d'authentification Microsoft v1 pour les sessions d'ouverture de session locales

Vous pouvez télécharger des copies préconstruites depuis la section des versions de ce dépôt.

Avertissement : Cet outil est fourni strictement à des fins éducatives et de test légitime uniquement. L'auteur de ce dépôt n'approuve ni ne soutient aucun type d'utilisation abusive et décline toute responsabilité pour les dommages ou conséquences juridiques résultant de l'utilisation de cet outil.

Aperçu de l'utilisation

Le tableau suivant résume les techniques actuellement implémentées.

DumpGuard utilise un modèle command plus target.

• command sélectionne la technique d'extraction.
• target sélectionne s'il faut opérer sur la session en cours ou énumérer les sessions.

Commandes prises en charge :

• /command:ntlmv1
• /command:ntlmv2
• /command:kerbtgs
• /command:msv10

Cibles prises en charge :

• /target:self
• /target:all

Paramètres courants de Remote Credential Guard :

• /domain:<DOMAIN>
• /username:<SAMACCOUNTNAME>
• /password:<PASSWORD>
• /spn:<SPN>

Paramètres Kerberos TGS :

• /tgsdomain:<DOMAIN>
• /tgsspn:<SPN>

Si /spn est omis pour un compte ordinateur, DumpGuard utilise par défaut HOST/<computername>.

Extraire votre propre session via Remote Credential Guard

Pour extraire les informations d'identification de l'utilisateur actuel depuis un contexte non privilégié, DumpGuard s'authentifie auprès d'un compte avec SPN en utilisant Remote Credential Guard, puis envoie des requêtes de suivi sur le contexte de sécurité établi.

Cela fonctionne indépendamment de l'état de Credential Guard, mais nécessite des identifiants pour un compte avec SPN.

Privilège requis : Aucun.

NTLMv1 :

DumpGuard.exe /command:ntlmv1 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2 :

DumpGuard.exe /command:ntlmv2 /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS :

DumpGuard.exe /command:kerbtgs /target:self /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

Si /tgsdomain est omis, il prend par défaut la valeur /domain de Remote Credential Guard.

Extraire toutes les sessions via Remote Credential Guard

Pour extraire les informations d'identification de tous les utilisateurs actuellement accessibles depuis un contexte privilégié, DumpGuard emprunte les jetons des processus en cours d'exécution, s'authentifie auprès d'un compte avec SPN en utilisant Remote Credential Guard, puis envoie des requêtes de suivi sur le contexte de sécurité établi.

Cela fonctionne indépendamment de l'état de Credential Guard, mais nécessite des identifiants pour un compte avec SPN.

Privilège requis : SYSTEM ou Administrateur (nécessite SeImpersonatePrivilege).

NTLMv1 :

DumpGuard.exe /command:ntlmv1 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

NTLMv2 :

DumpGuard.exe /command:ntlmv2 /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>]

Kerberos TGS :

DumpGuard.exe /command:kerbtgs /target:all /domain:<DOMAIN> /username:<SAMACCOUNTNAME> /password:<PASSWORD> [/spn:<SPN>] [/tgsdomain:<DOMAIN>] /tgsspn:<service/host>

Si /tgsdomain est omis, il prend par défaut la valeur /domain de Remote Credential Guard.

Extraire toutes les sessions via le package d'authentification Microsoft v1

Pour extraire les réponses NTLM des utilisateurs actuellement authentifiés depuis un contexte SYSTEM privilégié, DumpGuard interagit directement avec le SSP NTLM et demande des réponses de défi pour chaque session d'ouverture de session découverte.

Cela fonctionne uniquement dans les conditions suivantes :

• Credential Guard est désactivé sur le système local.
• Les utilisateurs distants sont authentifiés auprès du système local depuis un hôte distant via Remote Credential Guard.

Privilège requis : SYSTEM (nécessite SeTcbPrivilege).

DumpGuard.exe /command:msv10

Cette attaque peut également être réalisée à l'aide de LSA Whisperer avec la commande suivante :

lsa-whisperer.exe msv1_0 Lm20GetChallengeResponse --luid {session id} --challenge {challenge to clients} [flags...]

Informations bonus

J'ai rétro-conçu et recréé les interfaces exposées par Credential Guard (LsaIso.exe) et les ai incluses dans ce dépôt pour quiconque intéressé par des recherches supplémentaires.

En date d'octobre 2025, les interfaces suivantes sont implémentées :

• BCryptIum
• CloudApIum
• KerberosIum
• LsaIsoMgmtIum
• NtlmIum
• ProvIum

Remerciements

Merci à SpecterOps pour avoir soutenu cette recherche et à mes collègues qui ont aidé à son développement.

• Elad Shamir - pour avoir inspiré cet outil et cette recherche, et pour avoir offert une perspective précieuse et des encouragements chaque fois que je rencontrais un obstacle.
• Evan McBroom - pour avoir partagé des informations utiles sur les composants internes de LSA et fourni des encodeurs ASN.1 pour la plupart des structures utilisées dans ce projet.

Outils connexes

• LSA Whisperer (Evan McBroom) - Un ensemble d'outils pour interagir avec les packages d'authentification.
• Rubeus (Will Schroeder, Charlie Clark) - Un ensemble d'outils en C# pour l'interaction brute avec Kerberos et ses abus.
• Mimikatz (Benjamin Delpy) - Un petit outil pour jouer avec la sécurité Windows.
• Kekeo (Benjamin Delpy) - Une petite boîte à outils pour jouer avec Microsoft Kerberos en C.

Travaux connexes

• Oliver Lyak (2022) - À ma connaissance, la seule recherche publique sur l'extraction d'identifiants protégés par Credential Guard.
• James Forshaw (2022, 2022, 2022, 2022) - Soumissions de vulnérabilités qui documentent légèrement certaines des interfaces non documentées que nous avons recherchées.