KslKatzBOF

Un file oggetto beacon (BOF) per l'estrazione in-line delle credenziali LSASS dal C2 utilizzando la tecnica BYOVD con KslD.sys.

Questo progetto si basa sul post del blog: https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team

Attribuzione

Questo BOF è basato su KslKatz (Maximilian Barz), che a sua volta si basa su due progetti fondanti:

• KslDump – Accesso alla memoria fisica BYOVD tramite KslD.sys (driver del kernel di Microsoft Defender)
• GhostKatz – Estrazione di LSASS basata su BOF attraverso la memoria fisica

Inoltre, la fonte primaria della vulnerabilità sembra essere maxkray13 e il suo progetto Defender

Cosa Fa

Estrae credenziali da LSASS protetto da PPL senza iniettare nel processo, utilizzando solo componenti firmati Microsoft già presenti sul disco:

• MSV1_0 — Hash NT per sessione di logon
• WDigest — Password in chiaro (quando la cache è abilitata)

Compilazione

make

Produce bin/kslkatzbof.x64.o.

Utilizzo

Carica il BOF utilizzando il tuo loader BOF preferito.

Dichiarazione di non responsabilità

Solo per test di sicurezza autorizzati. L'uso improprio di questo strumento contro sistemi senza esplicita autorizzazione è illegale.