BackupCreds

________________________________________________
|      _____________________________           |
| [][] _____________________________ [_][_][_] |
| [][] [_][_] [_][_][_][_] [_][_] [_][_][_] |
|            Dump all the Creds!               |
| [][] [][][][][][][][][][][][][][_] [][][][]  |
| [][] [_][][][][][][][][][][][][][] [][][][]  |
| [][] [__][][][][][][][][][][][][_] [][][][]  |
| [][] [___][][][][][][][][][][][__] [__][][]  |
|          [_][______________][_]              |
|          Lefteris (lefty) Panos              |
|______________________________________________|

Abuso di SeTrustedCredmanAccessPrivilege per estrarre le credenziali utente

Il programma offre la possibilità di estrarre le credenziali memorizzate che un utente potrebbe avere in Gestione credenziali di Windows.

È una tecnica utile nei casi in cui esiste una shell elevata e più utenti sono attualmente connessi.

Passaggi

1. Individua il processo WinLogon corretto dell'utente di cui vogliamo estrarre le credenziali
2. Apre il processo WinLogon con accesso PROCESS_QUERY_LIMITED_INFORMATION
3. Duplica il token con accesso TOKEN_DUPLICATE
4. Converte il token in token di impersonazione
5. Abilita il permesso SeTrustedCredmanAccessPrivilege
6. Apre il processo target dell'utente
7. Ruba e impersona l'utente target
8. Chiama CredBackupCredentials mentre impersona il token di WinLogon passando un percorso su cui scrivere e una password NULL per disabilitare la crittografia dell'utente
9. Sempre durante l'impersonazione, apre il file e lo decripta usando l'API CryptUnprotectData
10. Elimina il file

Utilizzo

backupcreds [PID dell'utente target] [percorso del file da salvare]

Deve essere eseguito in un contesto elevato.

OPSEC

Attualmente scrive su disco in un percorso fornito dall'operatore. Una volta terminato, elimina il percorso. Accede a WinLogon.

Crediti

• Basato su https://www.tiraniddo.dev/2021/05/dumping-stored-credentials-with.html
• Utilizza parti di SharpDPAPI (https://github.com/GhostPack/SharpDPAPI/)
• Ringraziamenti a @eksperience per l'aiuto con il parsing e Nettitute RT