Extrator de Configuração do Cortex XDR

⚠️ Para mais informações, visite https://laokoon-security.com/cortex-xdr-config-exctractor/ (atualmente apenas em alemão)

Esta ferramenta é destinada a ser usada durante avaliações de Red Team e para auditar as configurações do XDR.

Com esta ferramenta é possível analisar os Arquivos de Bloqueio do Banco de Dados do Agente Cortex XDR da Palo Alto Networks e extrair Configurações do Agente, o Hash e Salt da Senha de Desinstalação, bem como possíveis Exclusões.

Extrações Suportadas

• Hash e Salt da Senha de Desinstalação
• Nomes de Signatários Excluídos
• Exclusões e Configurações de Segurança de DLL
• Exclusões e Configurações de Segurança de PE
• Exclusões e Configurações de Segurança de Arquivos do Office
• Exclusões do Módulo de Coleta de Credenciais
• Exclusões do Módulo de Proteção contra Webshell
• Exclusões da Cadeia de Execução de Processos Filhos
• Exclusões do Módulo de Ameaças Comportamentais
• Exclusões do Módulo de Varredura de Malware Local
• Status do Módulo de Proteção de Memória
• Exclusões Globais de Hash
• Modo e Configurações do Módulo de Proteção contra Ransomware

Uso

Usage = ./XDRConfExtractor.py [Filename].ldb
Help  = ./XDRConfExtractor.py -h

Como Obter os Arquivos de Bloqueio do Banco de Dados

Versão do Agente <7.8

Com versões do Agente anteriores a 7.8, qualquer usuário autenticado pode gerar um Arquivo de Suporte no Windows através do Console do Cortex XDR na Bandeja do Sistema. Os arquivos de bloqueio do banco de dados podem ser encontrados dentro do zip:

logs_[ID].zip\Persistence\agent_settings.db\

Versão do Agente ≥7.8

Os arquivos de suporte de Agentes executando a versão 7.8 ou superior são criptografados, mas se você tiver privilégios elevados na máquina Windows, os arquivos podem ser copiados diretamente do seguinte diretório, sem criptografia.

Método I

C:\ProgramData\Cyvera\LocalSystem\Persistence\agent_settings.db\

Método II

Os Arquivos de Suporte gerados não são excluídos regularmente, então pode ser possível encontrar arquivos de suporte antigos e não criptografados na seguinte pasta:

C:\Users\[Username]\AppData\Roaming\PaloAltoNetworks\Traps\support\

Versão do Agente >8.1

Supostamente, a partir da versão 8.1 do Agente, não deve mais ser possível extrair os dados dos arquivos de bloqueio. Isso ainda não foi testado.

Créditos

Esta ferramenta se baseia em uma técnica originalmente divulgada por mr.d0x em abril de 2022 https://mrd0x.com/cortex-xdr-analysis-and-bypass/

Aviso legal

O uso do Cortex-XDR-Config-Extractor para atacar alvos sem consentimento mútuo prévio é ilegal. É de responsabilidade do usuário final obedecer todas as leis locais, estaduais e federais aplicáveis. Os desenvolvedores não assumem nenhuma responsabilidade e não se responsabilizam por qualquer uso indevido ou dano causado por este programa. Use apenas para fins educacionais.