Silhouette

Par Gabriel Landau et Mark Mager chez Elastic Security.

Extrait de Hide Your Valuables — Mitigating Physical Credential Dumping Attacks présenté au Shmoocon 2023. Diapositives ici.

Garder les secrets LSA hors de la mémoire physique

Silhouette est une preuve de concept qui atténue l'utilisation de la mémoire physique pour extraire des identifiants de LSASS. Elle procède de trois manières :

1. Purger agressivement les pages de LSASS de la RAM vers le disque.
2. Bloquer l'accès brut au disque dans le volume de démarrage, empêchant ainsi les attaques de copie brute contre pagefile.sys et hiberfil.sys (par ex. Invoke-NinjaCopy).
3. Bloquer FILE_READ_DATA pour pagefile.sys dans tous les instantanés Volume Shadow Copy afin d'empêcher l'accès avec des outils comme hobocopy.

Il est fortement recommandé d'activer RunAsPPL avant d'utiliser Silhouette.

Compilation et exécution

Ceci est une preuve de concept. Utilisez-la à vos propres risques.

1. Compilez Silhouette.sln avec Visual Studio 2019. Le WDK est requis. Il a été développé à l'origine avec le WDK Win11 21H2.
2. Activez le Test Signing.
3. Enregistrez le service :

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Ajoutez les clés Minifilter :

reg import FilterKeys.reg

5. Démarrez le service :

sc start Silhouette

Licence

Silhouette est couvert par la licence ELv2. Il utilise phnt de SystemInformer sous la licence MIT.