blindsight

"Non esiste la sopravvivenza del più adatto.
Sopravvivenza del più adeguato, forse.
Non importa se una soluzione è ottimale.
Ciò che conta è se batte l'alternativa."

-- Peter Watts, Blindsight (2006)

Strumento di red teaming per dumpare la memoria di LSASS, bypassando le contromisure di base. Usa Transactional NTFS (TxF API) per rimescolare in modo trasparente il dump della memoria, al fine di evitare di attivare AV/EDR/XDR.

Articolo

• https://hnsecurity.it/blog/an-offensive-rust-encore

Vedi anche

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Cross-compilazione (esempio con macOS)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Utilizzo

In una finestra PowerShell di un amministratore:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Esempi

Dump della memoria di LSASS:

C:\> .\blindsight.exe

Rimescolamento del dump di memoria:

C:\> .\blindsight.exe 29ABE9Hy.log

Testato su

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!ATTENZIONE] Non testare su server di produzione, poiché l'accesso a LSASS potrebbe causare instabilità del sistema!

TODO

• Ottimizzare l'uso della memoria (corrompere semplicemente i "magic bytes" invece di usare XOR?)
• Usare litcrypt2 o strumenti simili per crittografare le stringhe localmente
• Consentire di specificare manualmente il pid di LSASS per evitare scannerizzazioni di processi rumorose
• Evitare di aprire direttamente l'handle di LSASS (ad esempio tramite PssCaptureSnapshot)
• Usare https://github.com/Kudaes/DInvoke_rs o simili per l'evasione degli hook API
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Implementare canali di esfiltrazione fileless (ad esempio TFTP, FTP, HTTP...)
• Valutare il dump in memoria tramite callback di minidump invece dell'API TxF
• https://adepts.of0x.cc/hookson-hootoff/
• Valutare una migliore gestione della riga di comando se il minimale non basta