BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_] [_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Abuser de SeTrustedCredmanAccessPrivilege pour extraire les informations d'identification des utilisateurs

Le programme permet d'extraire les informations d'identification stockées qu'un utilisateur peut avoir dans le Gestionnaire d'informations d'identification Windows.

C'est une technique utile dans les cas où un shell élevé existe et où plusieurs utilisateurs sont actuellement connectés.

Étapes

1. Trouve le bon processus WinLogon de l'utilisateur dont on veut extraire les informations d'identification
2. Ouvre le processus WinLogon avec l'accès PROCESS_QUERY_LIMITED_INFORMATION
3. Duplique le jeton avec l'accès TOKEN_DUPLICATE
4. Transforme le jeton en jeton d'emprunt (impersonation token)
5. Active la permission SeTrustedCredmanAccessPrivilege
6. Ouvre le processus cible de l'utilisateur
7. Vole et emprunte l'identité de l'utilisateur cible
8. Appelle CredBackupCredentials en empruntant l'identité du jeton WinLogon, en passant un chemin où écrire et un mot de passe NULL pour désactiver le chiffrement de l'utilisateur
9. Tout en empruntant toujours l'identité, ouvre le fichier et le déchiffre à l'aide de l'API CryptUnprotectData
10. Supprime le fichier

Utilisation

backupcreds [PID de l'utilisateur cible] [chemin du fichier de sauvegarde]

Doit être exécuté dans un contexte élevé.

OPSEC

Écrit actuellement sur le disque dans un chemin fourni par l'opérateur. Supprimera le chemin une fois terminé. Accède à WinLogon.

Crédits

• Basé sur https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Utilise des parties de SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• Merci à @eksperience pour l'aide sur l'analyse et Nettitute RT