Silhouette

Gabriel Landau 및 Mark Mager 제작, Elastic Security 소속.

Shmoocon 2023에서 발표된 Hide Your Valuables — Mitigating Physical Credential Dumping Attacks에서. 슬라이드는 여기.

LSA 비밀정보를 물리 메모리에서 보호하기

Silhouette은 LSASS에서 자격 증명을 덤프하기 위해 물리 메모리를 사용하는 것을 완화하는 POC입니다. 다음 세 가지 방식으로 이를 수행합니다:

1. LSASS의 페이지를 RAM에서 디스크로 적극적으로 플러시합니다.
2. 부팅 볼륨 내에서 원시 디스크 액세스를 차단하여 pagefile.sys 및 hiberfil.sys에 대한 원시 복사 공격을 방지합니다 (예: Invoke-NinjaCopy).
3. 모든 볼륨 섀도 복사본 스냅샷에서 pagefile.sys에 대한 FILE_READ_DATA를 차단하여 hobocopy와 같은 도구를 사용한 액세스를 차단합니다.

Silhouette을 사용하기 전에 RunAsPPL을 활성화하는 것이 좋습니다.

빌드 및 실행

이것은 개념 증명입니다. 사용에 따른 책임은 본인에게 있습니다.

1. Visual Studio 2019로 Silhouette.sln을 컴파일합니다. WDK가 필요합니다. 원래 Win11 21H2 WDK로 개발되었습니다.
2. 테스트 서명을 활성화합니다.
3. 서비스를 등록합니다:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Minifilter 레지스트리 키를 추가합니다:

reg import FilterKeys.reg

5. 서비스를 시작합니다:

sc start Silhouette

라이선스

Silhouette은 ELv2 라이선스로 제공됩니다. MIT 라이선스에 따라 SystemInformer의 phnt를 사용합니다.