wh0amitz/bypasscredguardBypass di Credential Guard tramite patching della memoria di Wdigest
Adam Chester (@_xpn_) ha scritto un articolo intitolato "Exploring Mimikatz - Part 1 - WDigest" sul memory patching per abilitare UseLogonCredential e far sì che Wdigest memorizzi le credenziali in chiaro, e questo mi ha incuriosito.
Il modulo wdigest.dll caricato dal processo LSASS ha due variabili globali interessanti: g_fParameter_useLogonCredential e g_IsCredGuardEnabled; il loro ruolo è evidente già dal nome: la prima serve a determinare se la password in chiaro debba essere memorizzata in memoria, la seconda contiene lo stato di Windows Defender Credential Guard all'interno del modulo. La memorizzazione nella cache delle password in chiaro di Wdigest può essere abilitata sui sistemi con Credential Guard modificando i valori di queste due variabili globali in memoria.
Per un'analisi più dettagliata, leggi il mio blog: "Revisiting a Credential Guard Bypass From Wdigest"
Esegui il POC che abbiamo scritto sul sistema con la protezione Credential Guard abilitata. Quando l'utente inserisce nuovamente username e password per accedere, otteniamo di nuovo la sua password in chiaro, come mostrato nella figura seguente.
BypassCredGuard.exe
In realtà, già nell'agosto 2020, Team Hydra (@N4k3dTurtl3) ha pubblicato un articolo sul blog intitolato "Bypassing Credential Guard" che discute questo trucco molto ingegnoso e semplice e pubblica brevemente un CredGuard_PoC concettuale, ma che non funziona su tutti i sistemi Windows.
Team Hydra ha inviato una segnalazione a Microsoft riguardo questo problema e ha ricevuto la seguente risposta:
"Dopo aver esaminato il problema, riteniamo che non si tratti di un bypass di Credential Guard. Credential Guard ha lo scopo di proteggere le credenziali memorizzate nella cache mentre la funzionalità è abilitata. Se un utente privilegiato disabilita Credential Guard, la funzionalità non può proteggere i successivi accessi. Aggiorneremo la documentazione pubblica per chiarire questo comportamento."
Data questa risposta, sospetto che questo sarà un metodo affidabile per ottenere credenziali in chiaro su sistemi con Credential Guard abilitato nel prossimo futuro.