Cortex XDR Config Extractor

⚠️ Per maggiori informazioni, visita https://laokoon-security.com/cortex-xdr-config-exctractor/ (attualmente solo in tedesco)

Questo strumento è pensato per essere utilizzato durante valutazioni Red Team e per verificare le impostazioni di XDR.

Con questo strumento è possibile analizzare i Database Lock Files dell'Agente Cortex XDR di Palo Alto Networks ed estrarre le Impostazioni dell'Agente, l'Hash e Salt della Password di Disinstallazione, così come le possibili Esclusioni.

Estrazioni Supportate

• Hash & Salt della Password di Disinstallazione
• Nomi dei Signer Esclusi
• Esclusioni e Impostazioni di Sicurezza DLL
• Esclusioni e Impostazioni di Sicurezza PE
• Esclusioni e Impostazioni di Sicurezza per File Office
• Esclusioni del Modulo di Raccolta Credenziali
• Esclusioni del Modulo di Protezione Webshell
• Esclusioni della Catena di Esecuzione dei Processi Figli
• Esclusioni del Modulo di Rilevamento Comportamentale
• Esclusioni del Modulo di Scansione Malware Locale
• Stato del Modulo di Protezione della Memoria
• Esclusioni Hash Globali
• Modalità e Impostazioni del Modulo di Protezione Ransomware

Utilizzo

Usage = ./XDRConfExtractor.py [Filename].ldb
Help  = ./XDRConfExtractor.py -h

Ottenere i File di Blocco del Database

Versione Agente <7.8

Con le versioni dell'Agente precedenti alla 7.8, qualsiasi utente autenticato può generare un File di Supporto su Windows tramite la Console Cortex XDR nella barra delle applicazioni. I file di blocco del database si trovano all'interno del file zip:

logs_[ID].zip\Persistence\agent_settings.db\

Versione Agente ≥7.8

I file di supporto degli Agenti con versione 7.8 o superiore sono crittografati, ma se si dispone di privilegi elevati sulla macchina Windows, i file possono essere copiati direttamente dalla seguente directory, senza crittografia.

Metodo I

C:\ProgramData\Cyvera\LocalSystem\Persistence\agent_settings.db\

Metodo II

I file di supporto generati non vengono eliminati regolarmente, quindi potrebbe essere possibile trovare vecchi file di supporto non crittografati nella seguente cartella:

C:\Users\[Username]\AppData\Roaming\PaloAltoNetworks\Traps\support\

Versione Agente >8.1

Presumibilmente, a partire dalla versione 8.1 dell'Agente, non dovrebbe più essere possibile estrarre i dati dai file di blocco. Questo non è ancora stato testato.

Crediti

Questo strumento si basa su una tecnica originariamente rilasciata da mr.d0x nell'aprile 2022 https://mrd0x.com/cortex-xdr-analysis-and-bypass/

Dichiarazione di non responsabilità

L'utilizzo di Cortex-XDR-Config-Extractor per attaccare obiettivi senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità per usi impropri o danni causati da questo programma. Utilizzare solo per scopi educativi.