Il Progetto LaZagne !!!

Descrizione

Il progetto LaZagne è tornato !!!

LaZagne utilizza una funzione interna di Windows chiamata CryptUnprotectData per decifrare le password degli utenti. Questa API deve essere chiamata nella sessione dell'utente vittima, altrimenti non funziona. Se il computer non è stato avviato (quando l'analisi viene eseguita su un disco montato offline), o se non si vuole rilasciare un binario sull'host remoto, non è possibile recuperare le password.

LaZagneForensic è stato creato per evitare questo problema. Questo lavoro è stato principalmente ispirato dal fantastico lavoro svolto da Jean-Michel Picod e Elie Bursztein per DPAPICK e da Francesco Picasso per Windows DPAPI laboratory.

Nota: Il problema principale è che per decifrare queste password è necessaria la password Windows dell'utente.

Installazione

• Richiede python2 (Non compatibile con python3)
• Richiede pip2: se non installato :
  root@kitploit:~

  sudo wget https://bootstrap.pypa.io/pip/2.7/get-pip.py
  sudo python2 ./get-pip.py
  

sudo apt install python2-dev
pip2 install markerlib
pip2 install distribute
pip2 install -r requirements.txt

Utilizzo

Primo metodo - Scaricare i file di configurazione dall'host remoto

• Utilizzo del script powershell

PS C:\Users\test\Desktop> Import-Module .\dump.ps1
PS C:\Users\test\Desktop> Dump
Folder dump created successfully !

• Utilizzo del script python

python dump.py

• Esegui Lazagne con password se la si possiede

python laZagneForensic.py all -remote /tmp/dump -password 'ZapataVive'

• Esegui Lazagne senza password

python laZagneForensic.py all -remote /tmp/dump

Secondo metodo - Montare un disco sul filesystem

• Il file deve essere montato sul filesystem

test:~$ ls /tmp/disk/
total 769M
drwxr-xr-x 2 root root    0 févr.  1 14:05 ProgramData
-rwxr-xr-x 1 root root 256M févr.  1 14:05 swapfile.sys
-rwxr-xr-x 1 root root 512M févr.  1 14:05 pagefile.sys
drwxr-xr-x 2 root root    0 janv. 31 00:35 System Volume Information
dr-xr-xr-x 2 root root    0 janv. 26 10:17 Program Files (x86)
dr-xr-xr-x 2 root root    0 janv. 25 18:13 Program Files
drwxr-xr-x 2 root root    0 janv. 19 10:09 Windows
drwxr-xr-x 2 root root    0 janv. 16 15:52 Homeware
drwxr-xr-x 2 root root    0 janv.  9 17:33 PerfLogs
drwxr-xr-x 2 root root    0 nov.  22 20:37 Recovery
drwxr-xr-x 2 root root 4,0K nov.  22 20:31 Documents and Settings
dr-xr-xr-x 2 root root    0 nov.  22 20:31 Users

• Esegui Lazagne con password se la si possiede

python laZagneForensic.py all -local /tmp/disk -password 'ZapataVive'

• Esegui Lazagne senza password

python laZagneForensic.py all -local /tmp/disk

Nota: Usare -v per la modalità verbose e -vv per la modalità debug.

Software supportati

Nota: Consulta l'immagine seguente per capire quali password è possibile decifrare senza la necessità della password Windows dell'utente. Tutte le credenziali trovate verranno testate come password Windows nel caso in cui l'utente riutilizzi la stessa password.

Donazioni

Non esitare a sostenere il mio lavoro facendo una donazione, lo apprezzerò molto:

• Via BTC: 16zJ9wTXU4f1qfMLiWvdY3woUHtEBxyriu

Ringraziamenti speciali

• Jean-Michel Picod e Elie Bursztein per DPAPICK
• Francesco Picasso per Windows DPAPI laboratory
• Jean-Christophe Delaunay - Jiss/Fist0urs del team Synacktiv per il loro lavoro

Articoli consigliati relativi a DPAPI

• Felice DPAPI!
• ReVaulting! Decifrazione e opportunità
• Windows ReVaulting
• Sfruttamento DPAPI durante pentest e cracking di password