Cortex XDR Config Extractor

⚠️ 자세한 내용은 https://laokoon-security.com/cortex-xdr-config-exctractor/ (현재 독일어로만 제공)을 방문하십시오.

이 도구는 레드 팀 평가 중 및 XDR 설정을 감사하기 위해 사용됩니다.

이 도구를 사용하면 Palo Alto Networks의 Cortex XDR Agent의 Database Lock Files를 파싱하고 Agent Settings, Uninstall Password의 Hash and Salt, 그리고 가능한 Exclusions를 추출할 수 있습니다.

지원되는 추출 항목

• 제거 암호 해시 및 솔트
• 제외된 서명자 이름
• DLL 보안 제외 및 설정
• PE 보안 제외 및 설정
• Office 파일 보안 제외 및 설정
• 자격 증명 수집 모듈 제외
• 웹쉘 보호 모듈 제외
• 자식 프로세스 실행 체인 제외
• 행동 위협 모듈 제외
• 로컬 맬웨어 스캔 모듈 제외
• 메모리 보호 모듈 상태
• 전역 해시 제외
• 랜섬웨어 보호 모듈 모드 및 설정

사용법

Usage = ./XDRConfExtractor.py [Filename].ldb
Help  = ./XDRConfExtractor.py -h

데이터베이스 잠금 파일 확보 방법

에이전트 버전 <7.8

7.8 이전의 에이전트 버전에서는 인증된 사용자가 시스템 트레이의 Cortex XDR 콘솔을 통해 Windows에서 지원 파일을 생성할 수 있습니다. 데이터베이스 잠금 파일은 zip 내에서 찾을 수 있습니다:

logs_[ID].zip\Persistence\agent_settings.db\

에이전트 버전 ≥7.8

버전 7.8 이상을 실행하는 에이전트의 지원 파일은 암호화되어 있지만, Windows 머신에서 상승된 권한이 있는 경우 암호화 없이 다음 디렉터리에서 파일을 직접 복사할 수 있습니다.

방법 I

C:\ProgramData\Cyvera\LocalSystem\Persistence\agent_settings.db\

방법 II

생성된 지원 파일은 정기적으로 삭제되지 않으므로, 다음 폴더에서 오래된 암호화되지 않은 지원 파일을 찾을 수 있을 수 있습니다.

C:\Users\[Username]\AppData\Roaming\PaloAltoNetworks\Traps\support\

에이전트 버전 >8.1

에이전트 버전 8.1부터는 잠금 파일에서 데이터를 가져오는 것이 더 이상 불가능할 것으로 예상됩니다. 아직 테스트되지 않았습니다.

크레딧

이 도구는 mr.d0x가 2022년 4월에 공개한 기술을 기반으로 합니다. https://mrd0x.com/cortex-xdr-analysis-and-bypass/

법적 고지

Cortex-XDR-Config-Extractor를 사전 상호 동의 없이 대상을 공격하는 데 사용하는 것은 불법입니다. 모든 관련 지역, 주 및 연방법을 준수하는 것은 최종 사용자의 책임입니다. 개발자는 어떠한 책임도 지지 않으며, 이 프로그램으로 인한 오용이나 손해에 대해 책임지지 않습니다. 교육 목적으로만 사용하십시오.