
Utilitário de Auditoria de Contas / Extração de Senhas do SolarWinds Orion
Ferramenta de Extração de Credenciais para SolarWinds Orion
Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/
Créditos para @asolino, @gentilkiwi, e @skelsec por me ajudarem a descobrir o DPAPI.
============================================
| Coletando Cookie Erlang do RabbitMQ
| Cookie Erlang: abcdefg12456789abcde
============================================
| Coletando Certificado SolarWinds
| Certificado SolarWinds Orion Encontrado!
| Nome do Assunto: CN=SolarWinds-Orion
| Impressão Digital : BE85C6C3AACA8840E166187B6AB8C6BA9DA8DE80
| Senha : alcvabkajp4
| Chave Privada : MIIKHwIBAzCCCd8GCSqGSIb3DQEHAaCCCdAEggn<snip>
============================================
| Coletando arquivo Default.DAT
| Criptografado: 01000000D08C9DDF0115D<snip>
| Descriptografado: 5D3CE5B08C9201E636BCF<snip>
============================================
| Coletando Credenciais do Banco de Dados |
| Caminho para SWNetPerfMon.DB é: C:\Program Files (x86)\SolarWinds\Orion\SWNetPerfMon.DB
| String de Conexão: Server=(local)\SOLARWINDS_ORION;Database=SolarWindsOrion;User ID=SolarWindsOrionDatabaseUser;Password=SUPERSECRETPASSWORDHERE
| Número de credenciais de banco de dados encontradas: 1
============================================
| Conectando ao Banco de Dados |
| Conectado com sucesso a: Server=(local)\SOLARWINDS_ORION;Database=SolarWindsOrion;User ID=SolarWindsOrionDatabaseUser;MultipleActiveResultSets=true
============================================
| BD - Exportando Tabela de Chaves |
| KeyID: 1
| Chave Criptografada: LmjknGhSXTC<snip>
| Tipo: Aes256
| Propósito: master
| Tipo de Proteção: 1
| Valor de Proteção: BE85C6C3AACA8<snip>
| Detalhes de Proteção: {}
------------------------------------------------
| KeyID: 2
| Chave Criptografada: //pj6a4FaCyfv/Rgs<snip>
| Tipo: Aes256
| Propósito: oldcryptohelper
| Tipo de Proteção: 0
| Valor de Proteção: 1
| Detalhes de Proteção: {"IV":"oj3JCT7Cft<snip>"}
============================================
| BD - Exportando Tabela de Contas |
| Conta: _system
| Hash da Senha: qE9ClH<snip>
| Salt da Senha: XgtO8XNWc/KiIdglGOnxvw==
| Modo Hashcat 12501: $solarwinds$1$XgtO8XNWc/KiIdglGOnxvw==$qE9ClHDI<snip>
| Conta Ativada: Y
| Permitir Admin: Y
| Último Login: 12/15/2020
--------------------------------------------
| Conta: Admin
| Hash da Senha: IfAEwA7LXxOAH7ORCG0ZYeq<snip>
| Salt da Senha: jNhn3i2XtHfY8y4EOmNdiQ==
| Modo Hashcat 12501: $solarwinds$1$jNhn3i2XtHfY8y4EOmNdiQ==$IfAEwA7LXxOAH7ORCG0ZY<snip>
| Conta Ativada: Y
| Permitir Admin: Y
| Último Login: 12/02/2020
--------------------------------------------
| Conta: Guest
| Hash da Senha: Y/EMuOWMNfCd<snip>
| Salt é NULL no BD, então o nome de usuário em minúsculas é usado: guest
| Modo Hashcat 12500: $solarwinds$0$guest$Y/EMuOWMNfCd<snip>
| Conta Ativada: N
| Permitir Admin: N
| Último Login: 12/30/1899
--------------------------------------------
| Conta: iprequest
| Hash da Senha: 7zskGWFukuHuwQ<snip>
| Salt é NULL no BD, então o nome de usuário em minúsculas é usado: iprequest
| Modo Hashcat 12500: $solarwinds$0$iprequest$7zskGWFukuHuwQ<snip>
| Conta Ativada: Y
| Permitir Admin: N
| Último Login: 01/01/1900
--------------------------------------------
| Conta: SITTINGDUCK\uberolduser
| Senha: 11-417578424799297-9-6260697430795685763067724
| Senha Decodificada: ASDQWE123
| Modo Hashcat 21500: $solarwinds$0$admin$fF1lrlOXfxVz51Etjcs18XNK+Zt3keV2AllH9cYtGzdt5Yg2TtcsU84G9+5VVFMIUorR5eNJzX/1kmef6wZfrg==
| Conta Ativada: Y
| Permitir Admin: N
| Último Login: 11/15/2015
| SID da Conta: S-1-5-21-1000000000-2000000000-3000000000-50000
| Grupo: SITTINGDUCK\Domain Admins
--------------------------------------------
============================================
| BD - Exportando Tabela de Credenciais |
------------------1--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: _system
| Descrição: Cortex Integration
| Proprietário: CORE
| Senha: 9dM-5pH/&Y(KU-v
| Nome de Usuário: _system
------------------1--------------------------
------------------2--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: JobEngine
| Descrição: Job Engine router TCP endpoint credentials
| Proprietário: JobEngine
| Senha: +fBByxJFsK+da6ZN2wKvLTKC/PWUzFlfIvvwtW/XqvA=
| Nome de Usuário: KWPPhiYJmE8+fRF6qlkxulK2tf3t79TQOAk1ywBMVOI=
------------------2--------------------------
------------------3--------------------------
| Type: SolarWinds.Orion.Core.Models.Credentials.SnmpCredentialsV2
| Nome: public
| Descrição:
| Proprietário: Orion
| Comunidade: public
------------------3--------------------------
------------------4--------------------------
| Type: SolarWinds.Orion.Core.Models.Credentials.SnmpCredentialsV2
| Nome: private
| Descrição:
| Proprietário: Orion
| Comunidade: private
------------------4--------------------------
------------------5--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: Erlang cookie
| Descrição: Erlang clustering cookie
| Proprietário: Erlang
| Senha: abcdefg12456789abcde
| Nome de Usuário: ignored
------------------5--------------------------
------------------6--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: RabbitMQ user account
| Descrição: RabbitMQ user account for Message Bus
| Proprietário: RabbitMQ
| Senha: LtVmCrzlTNyWmwxpxJMi
| Nome de Usuário: orion
------------------6--------------------------
------------------7--------------------------
| Type: SolarWinds.Orion.Core.Models.Credentials.SnmpCredentialsV3
| Nome: User: snmpv3user, Context: thisisthecontext
| Descrição:
| Proprietário: Orion
| Chave de Autenticação É Senha: false
| Senha de Autenticação: ASDqwe123
| Tipo de Autenticação: SHA1
| Contexto: thisisthecontext
| Chave de Privacidade É Senha: false
| Senha de Privacidade: ASDqwe123
| Tipo de Privacidade: AES256
| Nome de Usuário: snmpv3user
------------------7--------------------------
------------------8--------------------------
| Type: SolarWinds.Orion.Core.Models.Credentials.SnmpCredentialsV3
| Nome: User: rootsnmpv3, Context: newcontextv3
| Descrição:
| Proprietário: Orion
| Chave de Autenticação É Senha: true
| Senha de Autenticação: ASDqwe123
| Tipo de Autenticação: MD5
| Contexto: newcontextv3
| Chave de Privacidade É Senha: true
| Senha de Privacidade: ASDqwe123
| Tipo de Privacidade: AES128
| Nome de Usuário: rootsnmpv3
------------------8--------------------------
------------------9--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: DomainAdmin
| Descrição:
| Proprietário: Orion
| Senha: ASDqwe123
| Nome de Usuário: SITTINGDUCK\uberuser
------------------9--------------------------
------------------10--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: DomainJoiner
| Descrição:
| Proprietário: Orion
| Senha: ASDqwe123
| Nome de Usuário: [email protected]
------------------10--------------------------
------------------11--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.UsernamePasswordCredential
| Nome: vesxi
| Descrição: vesxi
| Proprietário: VIM
| Senha: ASDqwe123
| Nome de Usuário: root
------------------11--------------------------
------------------12--------------------------
| Type: SolarWinds.Orion.Core.SharedCredentials.Credentials.ActiveDirectoryCredential
| Nome: SITTINGDUCK\uberuser
| Descrição:
| Proprietário: Orion
| Senha: ASDqwe213
| Nome de Usuário: SITTINGDUCK\uberuser
------------------12--------------------------
------------------13--------------------------
| Type: SolarWinds.APM.Common.Credentials.ApmUsernamePasswordCredential
| Nome: App Monitoring User
| Descrição:
| Proprietário: APM
| Senha: ASDqwe123
| Nome de Usuário: SITTINGDUCK\uberuser
------------------13--------------------------
------------------14--------------------------
| Type: SolarWinds.SRM.Common.Credentials.SmisCredentials
| Nome: EMC_SMIS_Solarwinds
| Descrição:
| Proprietário: SRM
| Porta HTTP: 5988
| Porta HTTPS: 5989
| Namespace de Interoperabilidade: /interop
| Namespace: root/emc
| Senha: ASDqwe123
| Nome de Usuário: solarwinds
| Usar SSL: true
------------------14--------------------------
------------------15--------------------------
| Type: SolarWinds.ESI.Common.Connection.ExternalSystemCredential
| Nome: ESC
| Descrição:
| Proprietário: ESI
| Senha: ASDqwe123
| Nome de Usuário: solar_winds
------------------15--------------------------
------------------16--------------------------
| Type: SolarWinds.Orion.Web.Integration.OAuth2Token
| Nome: SITTINGDUCK\uberuser
| Descrição:
| Proprietário: Web.Integration
| Token de Acesso: GthQHd3<snip>
| Expiração do Token de Acesso: 2020-11-01T10:52:50.2768075Z
| Data de Emissão do Token de Acesso: 2020-11-01T09:52:51.2768075Z
| Token de Atualização: hEyph9WqIfzm<snip>
| Escopos:
| Nome de Usuário: [email protected]
------------------16--------------------------
------------------17--------------------------
| Type: SolarWinds.SRM.Common.Credentials.XtremIoHttpCredential
| Nome: XtremIO_Admin
| Descrição:
| Proprietário: SRM
| Porta HTTP: 80
| Porta HTTPS: 443
| Senha: ASDqwe123
| Nome de Usuário: admin
| Usar SSL: true
------------------18--------------------------
============================================
============================================