blindsight

"Não existe isso de sobrevivência do mais forte.
Sobrevivência do mais adequado, talvez.
Não importa se uma solução é ótima.
Tudo o que importa é se ela é melhor que a alternativa."

-- Peter Watts, Blindsight (2006)

Ferramenta de red team para despejar a memória do LSASS, ignorando contramedidas básicas. Ela usa NTFS Transacional (API TxF) para embaralhar de forma transparente o despejo de memória, evitando acionar AV/EDR/XDR.

Artigo

• https://hnsecurity.it/blog/an-offensive-rust-encore

Ver também

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Compilação cruzada (exemplo no macOS)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Uso

Em uma janela do PowerShell com privilégios de administrador:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Exemplos

Despejar memória do LSASS:

C:\> .\blindsight.exe

Desembaralhar o despejo de memória:

C:\> .\blindsight.exe 29ABE9Hy.log

Testado em

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] Não teste em servidores de produção, pois acessar o LSASS pode causar instabilidade no sistema!

A fazer

• Otimizar o uso de memória (simplesmente corromper os "bytes mágicos" em vez de usar XOR?)
• Usar litcrypt2 ou similar para criptografar strings localmente
• Permitir especificar manualmente o PID do LSASS para evitar varreduras ruidosas de processos
• Evitar abrir o handle do LSASS diretamente (ex.: via PssCaptureSnapshot)
• Usar https://github.com/Kudaes/DInvoke_rs ou similar para evasão de hooks de API
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Implementar canais de exfiltração sem arquivos (ex.: TFTP, FTP, HTTP...)
• Considerar despejar na memória usando callbacks de minidump em vez da API TxF
• https://adepts.of0x.cc/hookson-hootoff/
• Considerar um tratamento melhor da linha de comando, se o mínimo não for suficiente.