blindsight

"योग्यतम की उत्तरजीविता जैसी कोई चीज़ नहीं होती।
शायद, सबसे उपयुक्त की उत्तरजीविता।
इससे कोई फर्क नहीं पड़ता कि समाधान इष्टतम है या नहीं।
केवल यह मायने रखता है कि क्या वह विकल्प से बेहतर है।"

-- पीटर वॉट्स, ब्लाइंडसाइट (2006)

LSASS मेमोरी डंप करने के लिए रेड टीमिंग टूल, जो बुनियादी प्रति-उपायों को बायपास करता है। यह मेमोरी डंप को पारदर्शी रूप से स्क्रैम्बल करने के लिए Transactional NTFS (TxF API) का उपयोग करता है, ताकि AV/EDR/XDR को ट्रिगर होने से बचाया जा सके।

लेख

• https://hnsecurity.it/blog/an-offensive-rust-encore

यह भी देखें

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

क्रॉस-कंपाइलिंग (macOS उदाहरण)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

उपयोग

एडमिनिस्ट्रेटर की PowerShell विंडो के अंदर:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

उदाहरण

LSASS मेमोरी डंप करें:

C:\> .\blindsight.exe

मेमोरी डंप को अनस्क्रैम्बल करें:

C:\> .\blindsight.exe 29ABE9Hy.log

परीक्षण किया गया

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] प्रोडक्शन सर्वर पर परीक्षण न करें, क्योंकि LSASS तक पहुँचने से सिस्टम अस्थिर हो सकता है!

करने योग्य कार्य

• मेमोरी उपयोग को अनुकूलित करें (XORing के बजाय केवल "मैजिक बाइट्स" को दूषित करें?)
• स्ट्रिंग्स को स्थानीय रूप से एन्क्रिप्ट करने के लिए litcrypt2 या इसी तरह का उपयोग करें
• शोरगुल वाले प्रोसेस स्कैन से बचने के लिए LSASS pid को मैन्युअल रूप से निर्दिष्ट करने की अनुमति दें
• सीधे LSASS हैंडल खोलने से बचें (जैसे, PssCaptureSnapshot के माध्यम से)
• API हुक्स से बचाव के लिए https://github.com/Kudaes/DInvoke_rs या इसी तरह का उपयोग करें
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• फाइललेस एक्सफिल्ट्रेशन चैनल लागू करें (जैसे, TFTP, FTP, HTTP...)
• TxF API के बजाय minidump कॉलबैक का उपयोग करके मेमोरी में डंप करने पर विचार करें
• https://adepts.of0x.cc/hookson-hootoff/
• यदि न्यूनतम पर्याप्त नहीं है तो बेहतर कमांड लाइन हैंडलिंग पर विचार करें