Silhouette

Gabriel Landau और Mark Mager द्वारा, Elastic Security में।

यह Hide Your Valuables — Mitigating Physical Credential Dumping Attacks से है, जिसे Shmoocon 2023 में प्रस्तुत किया गया। स्लाइड्स यहाँ देखें।

LSA रहस्यों को भौतिक मेमोरी से बाहर रखना

Silhouette एक POC है जो LSASS से क्रेडेंशियल डंप करने के लिए भौतिक मेमोरी के उपयोग को कम करता है। यह तीन तरीकों से ऐसा करता है:

1. LSASS के पेजों को RAM से डिस्क पर आक्रामक रूप से फ्लश करता है।
2. बूट वॉल्यूम के भीतर रॉ डिस्क एक्सेस को ब्लॉक करता है, जिससे pagefile.sys और hiberfil.sys के विरुद्ध रॉ कॉपी हमलों को रोका जा सके (उदा. Invoke-NinjaCopy)।
3. सभी Volume Shadow Copy स्नैपशॉट्स में pagefile.sys के लिए FILE_READ_DATA को ब्लॉक करता है, ताकि hobocopy जैसे टूल्स से एक्सेस को रोका जा सके।

Silhouette का उपयोग करने से पहले RunAsPPL को सक्षम करने की अत्यधिक अनुशंसा की जाती है।

इसे बनाना और चलाना

यह एक प्रूफ ऑफ कॉन्सेप्ट है। इसे अपने जोखिम पर उपयोग करें।

1. Silhouette.sln को Visual Studio 2019 के साथ कंपाइल करें। WDK आवश्यक है। यह मूल रूप से Win11 21H2 WDK के साथ विकसित किया गया था।
2. टेस्ट साइनिंग सक्षम करें।
3. सेवा पंजीकृत करें:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Minifilter कुंजियाँ जोड़ें:

reg import FilterKeys.reg

5. सेवा शुरू करें:

sc start Silhouette

लाइसेंस

Silhouette ELv2 लाइसेंस द्वारा कवर किया गया है। यह SystemInformer से phnt का उपयोग MIT लाइसेंस के अंतर्गत करता है।