Silhouette

Por Gabriel Landau e Mark Mager da Elastic Security.

Do Esconda Seus Bens Valiosos — Mitigando Ataques de Extração de Credenciais Físicas apresentado no Shmoocon 2023. Slides aqui.

Mantendo os segredos do LSA fora da memória física

O Silhouette é uma POC que mitiga o uso da memória física para extrair credenciais do LSASS. Ele faz isso de três maneiras:

1. Descarregar agressivamente as páginas do LSASS da RAM para o disco.
2. Bloquear o acesso bruto ao disco no volume de inicialização, impedindo ataques de cópia bruta contra pagefile.sys e hiberfil.sys (por exemplo, Invoke-NinjaCopy).
3. Bloquear FILE_READ_DATA para pagefile.sys em todos os snapshots do Volume Shadow Copy para bloquear o acesso com ferramentas como hobocopy.

É altamente recomendável habilitar o RunAsPPL antes de usar o Silhouette.

Compilando e executando

Isto é uma prova de conceito. Use-o por sua conta e risco.

1. Compile o Silhouette.sln com o Visual Studio 2019. O WDK é necessário. Ele foi originalmente desenvolvido com o Win11 21H2 WDK.
2. Ative a Assinatura de Teste.
3. Registre o serviço:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Adicione as chaves de Minifilter:

reg import FilterKeys.reg

5. Inicie o serviço:

sc start Silhouette

Licença

O Silhouette é coberto pela licença ELv2. Ele usa o phnt do SystemInformer sob a licença MIT.