blindsight

「適者生存」なんてものは存在しない。
おそらく「最も適切な者が生き残る」だけだ。
解決策が最適かどうかは重要ではない。
重要なのは、それが代替案より優れているかどうかだけだ。

-- ピーター・ワッツ、ブラインドサイト (2006)

LSASSメモリをダンプし、基本的な対策を回避するレッドチーム用ツールです。 Transactional NTFS（TxF API）を使用してメモリダンプを透過的にスクランブルし、 AV/EDR/XDRをトリガーしないようにします。

記事

• https://hnsecurity.it/blog/an-offensive-rust-encore

関連項目

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

クロスコンパイル（macOSの例）

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

使用方法

管理者のPowerShellウィンドウ内で：

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

例

LSASSメモリをダンプ：

C:\> .\blindsight.exe

メモリダンプのスクランブルを解除：

C:\> .\blindsight.exe 29ABE9Hy.log

動作確認済み環境

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] LSASSへのアクセスはシステムの不安定化を引き起こす可能性があるため、本番サーバーではテストしないでください！

TODO

• メモリ使用量の最適化（XORの代わりに"マジックバイト"を単に破損させるだけにする？）
• 文字列をローカルで暗号化するために litcrypt2 または類似のツールを使用する
• ノイズの多いプロセススキャンを避けるため、LSASS pidを手動で指定できるようにする
• LSASSハンドルを直接開くのを避ける（例：PssCaptureSnapshot経由）
• APIフック回避のために https://github.com/Kudaes/DInvoke_rs または類似のものを使用する
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• ファイルレスな外部送信チャネルを実装する（例：TFTP、FTP、HTTP...）
• TxF APIの代わりにminidumpコールバックを使用してメモリにダンプすることを検討する
• https://adepts.of0x.cc/hookson-hootoff/
• 最小限の実装では不十分な場合は、より良いコマンドライン処理を検討する