Veeam Dumper BOF

Stephen Munro 氏と Logan Kroeger 氏（@MWRCyberSec）による、Veeam Backup and Replication および Veeam One 向けの資格情報抽出 BOF です。この BOF は、Veeam One または Veeam Backup and Replication サーバー上の Admin ビーコンで実行する必要があり、Cobalt Strike および Outflank C2 をサポートしています。

tldr;
The BOF uses sqlcmd.exe/psql.exe to extract encrypted credential blobs from the database, grabs the salt from regisry and uses DPAPI to decrypt and print them.

私は熟練した C 開発者ではないため、ビーコンがクラッシュするのが心配な場合は、予防措置としてセカンドビーコンを起動してこの BOF を実行することを強くお勧めします。Veeam One および Veeam Backup and Replication の PSQL と MSSQL の両方でテスト済みで、すべて正常に動作しました。

免責事項

このプロジェクトの作者および貢献者は、本ツールの不正使用について一切の責任を負いません。本ツールは教育的な目的および許可されたセキュリティテストの目的のみを意図しています。利用者は、合法的な使用を確保する責任があります。

使用方法

Dump credentials from Veeam. Supports PSQL and MSSQL!

Use: veeam-dumper [db type] [optional args]

	 db type (Required):	mssql, psql, auto 
	 --dbname (Optional):	if blank will try pull from registry. 
	 --exepath (Optional):	Path to sqlcmd.exe/psql.exe. If not specified will search $PATH and common locations depending on the DB type 
	 --debug (Optional):	Enables debug output
	 --veeamone (Optional):	Run VeeamOne mode

Examples:
	 veeam-dumper auto
	 veeam-dumper psql --dbname VeeamBackup2016 --exepath "C:\Program Files\pssql.exe" --debug
	 veeam-dumper mssql --debug --veeamone

サンプル画像

特徴

この BOF は以下のことができます:

Veeam Backup and Replication および Veeam One の PSQL と MSSQL の両方をサポート
Outflank C2 (.s1.py) および Cobalt Strike (.cna) をサポート
フルオートモードを搭載
必要な sqlcmd.exe/psql.exe を一般的な場所から検索するか、手動で指定可能
Veeam Backup and Replication および VeeamOne のデータベース名とソルトをレジストリから自動取得
Veeam データベース内のジョブをクエリして、資格情報が使用されている場所を一覧表示

ソースからのコンパイル

i686-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x86.o
x86_64-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x64.o

リソース

Veeam Dumper .NET Implementation

VeeamDumper-BOF

人気