frkngksl/silentnimvestImplémentation Nim de la méthode d'extraction d'identifiants à partir des ruches SAM/SECURITY de sud0Ru (alias SilentHarvest)
Essentiellement, SilentNimvest est un analyseur des ruches SAM et Security écrit en Nim. SilentNimvest lit les clés de ces ruches en utilisant la technique Silent Harvest. Avec cette technique, plutôt qu'un privilège de niveau SYSTEM, un simple compte Administrateur qui active SeBackupPrivilege (grâce aux indicateurs NtOpenKeyEx) peut extraire les hash des utilisateurs locaux, les informations d'ouverture de session de domaine mises en cache, les secrets LSA et autres secrets pouvant être obtenus à partir de ces ruches en utilisant une API de lecture de registre moins surveillée par les EDR, RegQueryMultipleValuesW.
L'ensemble du projet repose sur les recherches de sud0ru.
Vous pouvez compiler directement le code source avec la commande suivante :
nim c -d:release -o:SilentNimvest.exe Main.nim
Si vous obtenez l'erreur « cannot open file », vous devez également installer les dépendances requises :
nimble install winim nimcrypto checksums des
SilentNimvest peut être exécuté directement sans paramètre requis depuis un terminal Administrateur élevé.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Tentative d'analyse des informations d'identification liées à SAM (Utilisateurs locaux)
[*] Utilisateur local RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Utilisateur local RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Utilisateur local RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Utilisateur local RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Utilisateur local RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Tentative d'analyse des informations d'identification liées à Security (Infos d'ouverture de session de domaine mises en cache, Compte machine et Secrets LSA)
[*] Clés DPAPI : dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM : 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Texte clair utilisateur depuis _SC_Backupservice : .\zoro:SilentNimvest
Pour des tests de sécurité autorisés uniquement. Toute utilisation abusive de cet outil contre des systèmes sans permission explicite est illégale.