Mimikatz 検出ドライバ - Busylight

Plenom A/S Busylight Alpha の PID/VID (0x3bca/0x27bb) を持つ USB HID ドライバエミュレーションで、Mimikatz によってサポートされています。 Mimikatz が実行されると、デフォルトでスレッドが生成され、サポートされている Busylight のいずれかを見つけようとします。すべての HID デバイスが列挙され、PID/VID が一致すると、Busylight を異なる色で点滅させるためのパケットが送信されます。

Mimikatz によってこのデバイスに送信されるパケットには、次の3種類があります:

• keepalive - 約1秒ごとに送信されます
• start - デバイスが見つかった場合にのみ送信されます
• stop - Mimikatz が終了したとき、または busylight::off が呼び出されたとき

このデバイスは実際の USB デバイスを完全に模倣する HID デバイスをエミュレートするため、Mimikatz は両者を区別できません。

ドライバの動作 (DetectUm)?

ドライバは umdf2 ドライバであり、次のことを意味します:

• Windows 8.1 以降で動作します
• カーネル空間ではなくユーザー空間で実行されます
• NT Authority\Local Serive (低権限) として実行されます
• 署名証明書で署名できます

Busylight の動作を透過的にエミュレートします。ドライバは、3つのパケット (start、keepalive、stop) のいずれかを受信したかどうかを確認し、受信した場合は DLL をロードして、それぞれの3つのエクスポート関数を呼び出します。 DLL は署名されている必要はありませんが、信頼できる配布には役立つ可能性があります。DLL の機能は簡単に変更できます。

DLL の動作 (DetectDLL)?

3つのエクスポート関数があります:

• void start()
• void keepalive()
• void stop()

これらはドライバによってそれぞれ呼び出されます。現在、次の3つの異なるレポートモードが実装されています:

• Eventlog ログ
• デバッグメッセージログ (WUDFhost.exe にアタッチされたデバッガで確認できます)
• リモート syslog ログ (さらなるテストが必要かもしれません)

DLL が記録する内容 (DetectDLL)?

次の形式が、Windows Logs\Application のイベントログ (または他の2つのログインターフェース) に表示されます。

Tool started. PID: 13456

かなり基本的ですが、最も重要な2つの情報がそこにあります。開始/停止またはキープアライブのいずれかであり、その時点でツールが実行されていたことを意味します。PID はプロセス ID です。
UMDF ドライバは低権限ユーザーでユーザースペースを実行しているため、他のプロセスに関する情報を詳細に取得することはできません。これは、より高い権限を持つ別のサービスによって行われるべきです。

インストール

以下は管理者権限を持つユーザーとして実行する必要があります:

• 次のコマンドを実行します: install.bat

アンインストール

以下は管理者権限を持つユーザーとして実行する必要があります:

• 次のコマンドを実行します: uninstall.bat

テスト

rsyslog サーバーを使用して、3つの異なる Windows 10 インストール環境でテストされました。

次の Mimikatz バリアントがテストされました:

• オリジナルバージョンの Mimikatz (2015年10月8日以降) (検出済み)

• オリジナルを DLL にコンパイルしたもの (検出済み)

• オリジナルを PowerShell にコンパイルしたもの (Invoke-Mimikatz) (検出済み)

• PowerSploit - Invoke-Mimikatz (検出済み)

• CrackMapExec - Invoke-Mimikatz (検出済み)

• Shellenium - Invoke-Mimikatz (検出済み)

• Cobalt Strike (未検出)

• Metasploit kiwi モジュール (未検出)

• Pypykatz (未検出)