Silhouette

Par Gabriel Landau et Mark Mager chez Elastic Security.

Extrait de Hide Your Valuables — Mitigating Physical Credential Dumping Attacks présenté au Shmoocon 2023. Diapositives ici.

Garder les secrets LSA hors de la mémoire physique

Silhouette est une preuve de concept qui atténue l'utilisation de la mémoire physique pour extraire des identifiants de LSASS. Elle procède de trois manières :

1. Purger agressivement les pages de LSASS de la RAM vers le disque.
2. Bloquer l'accès brut au disque dans le volume de démarrage, empêchant ainsi les attaques de copie brute contre pagefile.sys et hiberfil.sys (par ex. Invoke-NinjaCopy).
3. Bloquer FILE_READ_DATA pour pagefile.sys dans tous les instantanés Volume Shadow Copy afin d'empêcher l'accès avec des outils comme hobocopy.