nosferatu

Windows NTLM/Kerberos 認証バックドア

動作原理

まず、DLL が lsass.exe プロセスにインジェクションされ、認証 WinAPI 呼び出しをフックし始めます。対象となる関数は次のとおりです：

• NTLM: NtlmShared!MsvpPasswordValidate()
• Kerberos: cryptdll!CDLocateCSystem()
• Kerberos: samsrv!SamIRetrieveMultiplePrimaryCredentials()

検知を避けるため、フックされた関数はまず本来の関数を呼び出し、通常の認証フローを許可します。認証が失敗した場合にのみ、フックは実際の NTLM ハッシュをバックドアハッシュと交換します。

使用方法

nosferatu は 64 ビット DLL としてコンパイルする必要があります。

Procexp を使ってロードされた状態を確認できます：

Impacket を使用したログイン例：

制限事項

システム起動後 60 秒間はフックが適用されません。