mwr-cybersec/veeamdumper-bofVeeam Backup and Replication 및 Veeam One용 자격 증명 추출 BOF
Veeam Backup and Replication 및 Veeam One용 자격 증명 추출 BOF로, @MWRCyberSec의 Stephen Munro와 Logan Kroeger가 제작했습니다. 이 BOF는 Veeam One 또는 Veeam Backup and Replication 서버의 Admin 비콘에서 실행해야 하며 Cobalt Strike 및 Outflank C2를 지원합니다.
tldr;
The BOF uses sqlcmd.exe/psql.exe to extract encrypted credential blobs from the database, grabs the salt from regisry and uses DPAPI to decrypt and print them.
저는 숙련된 C 개발자가 아니므로, 비콘이 크래시될 것이 걱정된다면 예방 차원에서 두 번째 비콘을 생성하여 이 BOF를 실행할 것을 강력히 권장합니다. 저는 PSQL과 MSSQL 모두에 대해 Veeam One 및 Veeam Backup and Replication에서 테스트했으며 모두 작동했습니다.
이 프로젝트의 작성자와 기여자는 이 도구의 불법 사용에 대해 책임을 지지 않습니다. 이 도구는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 사용자는 합법적인 사용을 보장할 책임이 있습니다.
Dump credentials from Veeam. Supports PSQL and MSSQL!
Use: veeam-dumper [db type] [optional args]
db type (Required): mssql, psql, auto
--dbname (Optional): if blank will try pull from registry.
--exepath (Optional): Path to sqlcmd.exe/psql.exe. If not specified will search $PATH and common locations depending on the DB type
--debug (Optional): Enables debug output
--veeamone (Optional): Run VeeamOne mode
Examples:
veeam-dumper auto
veeam-dumper psql --dbname VeeamBackup2016 --exepath "C:\Program Files\pssql.exe" --debug
veeam-dumper mssql --debug --veeamone
이 BOF는 다음을 수행할 수 있습니다:
i686-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x86.o
x86_64-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x64.o