Silhouette

作者: Gabriel Landau と Mark Mager（Elastic Security）。

Shmoocon 2023 で発表された 貴重品を隠せ — 物理的な資格情報ダンプ攻撃の緩和 より。スライドはこちら。

LSA シークレットを物理メモリの外に保つ

Silhouette は、物理メモリを使用して LSASS から資格情報をダンプする行為を緩和する POC (概念実証) です。これには次の 3 つの方法を使用します。

1. LSASS のページを RAM からディスクへ強制的にフラッシュします。
2. ブートボリューム内の raw ディスクアクセスをブロックし、pagefile.sys と hiberfil.sys に対する raw コピー攻撃を防ぎます (例: Invoke-NinjaCopy)。
3. すべての Volume Shadow Copy スナップショット内の pagefile.sys に対する FILE_READ_DATA をブロックし、hobocopy のようなツールでのアクセスを防ぎます。

Silhouette を使用する前に RunAsPPL を有効にすることを強くお勧めします。

ビルドと実行

これは概念実証です。自己責任で使用してください。

1. Visual Studio 2019 で Silhouette.sln をコンパイルします。WDK が必要です。これは元々 Win11 21H2 WDK を使用して開発されました。
2. テスト署名 を有効にします。
3. サービスを登録します:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Minifilter キーを追加します:

reg import FilterKeys.reg

5. サービスを開始します:

sc start Silhouette

ライセンス

Silhouette は ELv2 ライセンス の対象です。SystemInformer の phnt を MIT ライセンス の下で使用しています。