La fuga di credenziali in memoria può essere scaricata e individuata con due metodi: • Account che è stato autenticato nel software almeno una volta; • Account che non è mai stato autenticato nel software, ma un attaccante è in grado di attivare l'allocazione di memoria utilizzando la funzione "Password dimenticata?";

L'applicazione viene eseguita all'avvio del sistema

Se l'account è stato autenticato almeno una volta nel software installato nel sistema a cui abbiamo accesso locale:

Account che è stato autenticato nel software almeno una volta:

Ricerca del nome utente "test" e della parte casuale correlata "YuYRV6" che è stata aggiunta al nome utente. Come si può vedere, è stata aggiunta una stringa casuale "YuYRV6" al nome utente test, che può essere utilizzata per trovare la password correlata.

Ricerca di "YuYRV6" nella memoria scaricata, che dovrebbe essere aggiunta alla password correlata per l'account "test"

Dump della password per l'account "test"

Sembra che "Test123!" sia la password per l'account test. Se un account non è mai stato autenticato nel software, un attaccante è in grado di attivare l'allocazione di memoria utilizzando la funzione "Password dimenticata?" e quindi eseguire il dump delle credenziali fuoriuscite in memoria: Se esiste un account che non è mai stato autenticato nel software, possiamo attivare l'allocazione dei dati in memoria utilizzando la funzione "Password dimenticata?":

Utilizzo della funzione di recupero password per l'utente Administrator

Il software non è riuscito a inviare l'email di recupero password

Dump della memoria allocata a ASManagerService.exe e filtro con il pattern "bstrpassword"

Password Administrator fuoriuscita in memoria

Sembra che "StrongestPass@999" sia la password per l'account Administrator.

Contatti

Se hai una domanda, puoi contattarmi, Giorgi Dograshvili su LinkedIn.