Silhouette

Di Gabriel Landau e Mark Mager presso Elastic Security.

Da Hide Your Valuables — Mitigating Physical Credential Dumping Attacks presentato allo Shmoocon 2023. Diapositive qui.

Tenere i segreti di LSA fuori dalla memoria fisica

Silhouette è un POC che mitiga l'uso della memoria fisica per estrarre le credenziali da LSASS. Lo fa in tre modi:

1. Scarica aggressivamente le pagine di LSASS dalla RAM al disco.
2. Blocca l'accesso raw al disco all'interno del volume di avvio, impedendo attacchi di copia raw contro pagefile.sys e hiberfil.sys (ad es. Invoke-NinjaCopy).
3. Blocca FILE_READ_DATA per pagefile.sys in tutti gli snapshot di Volume Shadow Copy per impedire l'accesso con strumenti come hobocopy.

È fortemente consigliato abilitare RunAsPPL prima di usare Silhouette.

Compilazione ed esecuzione

Questa è una proof of concept. Usala a tuo rischio.

1. Compila Silhouette.sln con Visual Studio 2019. È richiesto il WDK. È stato sviluppato originariamente con il Win11 21H2 WDK.
2. Abilita il Test Signing.
3. Registra il servizio:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Aggiungi le chiavi Minifilter:

reg import FilterKeys.reg

5. Avvia il servizio:

sc start Silhouette

Licenza

Silhouette è coperto dalla licenza ELv2. Utilizza phnt da SystemInformer sotto la licenza MIT.