SharpML

SharpML è un proof of concept per il data mining di condivisioni file che utilizza Machine Learning in Python e C#.

Lo strumento è discusso in maggior dettaglio sul nostro blog qui, ma è riassunto anche di seguito:

SharpML è uno strumento basato su C# e Python che esegue una serie di operazioni con l'obiettivo di estrarre dati da condivisioni file, interrogare Active Directory per utenti, rilasciare un modello ML e regole associate, eseguire controlli di autenticazione Active Directory, con lo scopo di automatizzare il processo di ricerca di password nelle condivisioni file alimentando i dati estratti nel modello ML.

Il modello ML è scritto in Python ed è stato sviluppato usando un algoritmo personalizzato per identificare la probabilità di password. Il modello è stato compilato con PyInstaller e risiede come file risorsa nel wrapper C#, che fa da intermediario tra sé stesso, i dati e il modello. La logica del programma può essere vista qui sotto:

Attualmente permette di valutare una singola condivisione file.

Dovrai avere accesso in lettura alla condivisione file che stai prendendo di mira, dopodiché lo strumento eseguirà le sue attività in modo quasi autonomo.

C'è una release compilata nella sezione release, e va notato che questo strumento è attualmente un PoC e soggetto a numerosi miglioramenti.

Utilizzo:

cmd.exe

C:\> SharpML.exe -u \\fileshare\d$

Cobalt Strike

> execute-assembly SharpML.exe -u \\fileshare\d$

Autori

Marco Valentini

Tom Kallo

Da fare

• Quando SharpML viene eseguito, tenterà di verificare tutti gli utenti che trova. Se esiste una politica di blocco restrittiva del dominio, potrebbe tentare di verificare gli utenti più volte e bloccare l'account in caso di più autenticazioni fallite
• Devono essere implementate alcune limitazioni di dimensione dei file in modo che i file di testo più grandi non causino un collo di bottiglia durante la copia dei dati grezzi
• Selezionare l'opzione di eseguire più condivisioni file contemporaneamente. Implementando un cercatore automatico di condivisioni, consentire a SharpML di essere completamente autonomo e setacciare l'intera rete
• Migliorare parte della logica del programma, includendo ulteriori opzioni come la scelta di verificare o meno rispetto alle 10.000 password più comuni