r4wd3r/subornerCrea account Windows invisibili con privilegi amministrativi tramite manipolazione diretta del SAM e hijacking del RID, bypassando le API standard di gestione utenti e la registrazione degli eventi per una persistenza furtiva.
Un semplice programma per creare un account Windows di cui solo tu saprai :)
net user o le applicazioni di gestione utenti di Windows OS (es. netapi32::netuseradd)Crea un account macchina invisibile con privilegi amministrativi, senza invocare quel fastidioso Registro Eventi di Windows per segnalarne la creazione!
Pubblicato al Black Hat USA 2022: Suborner: A Windows Bribery for Invisible Persistence
@inproceedings{10.1145/3689934.3690839,
author = {Castro, Sebasti\'{a}n R. and C\'{a}rdenas, Alvaro A.},
title = {Ghost in the SAM: Stealthy, Robust, and Privileged Persistence through Invisible Accounts},
year = {2024},
isbn = {9798400712302},
publisher = {Association for Computing Machinery},
address = {New York, NY, USA},
url = {https://doi.org/10.1145/3689934.3690839},
doi = {10.1145/3689934.3690839},
pages = {59–72},
numpages = {14},
}
git clone https://github.com/r4wd3r/Suborner/Scarica l'ultima release e pwn!
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
88
.d88888b. S U B O R N E R
d88P 88"88b
Y88b.88 The Invisible Account Forger
"Y88888b. by @r4wd3r
88"88b v1.0.1
Y88b 88.88P
"Y88888P" https://r4wsec.com
88
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
Description:
A stealthy tool to create invisible accounts on Windows systems.
Parameters:
USERNAME: Nome utente per il nuovo account subornato. Predefinito = <HOSTNAME>$
Sintassi: /username:[string]
PASSWORD: Password per il nuovo account subornato. Predefinita = Password.1
Sintassi: /password:[string]
RID: RID per il nuovo account subornato. Predefinito = Prossimo RID disponibile
Sintassi: /rid:[intero decimale]
RIDHIJACK: RID dell'account da impersonare. Predefinito = 500 (Amministratore)
Sintassi: /ridhijack:[intero decimale]
TEMPLATE: RID dell'account da usare come modello per la creazione del nuovo account. Predefinito = 500 (Amministratore)
Sintassi: /template:[intero decimale]
MACHINEACCOUNT: Crea come account macchina per maggiore invisibilità. Predefinito = yes
Sintassi: /machineaccount:[yes/no]
DEBUG: Abilita la modalità di debug per log dettagliati. Predefinita = disabilitata
Sintassi: /debug
Questo attacco non sarebbe stato possibile senza la grande ricerca svolta da:
Hack Suborna il pianeta!