RawHive

RawHive é um BOF do Cobalt Strike para extrair hives selecionados do registro do Windows diretamente de um volume NTFS bruto. Ele ignora as APIs de arquivo normais, percorre os metadados do NTFS para encontrar os registros de arquivos de destino e copia os bytes diretamente do disco.

Atualmente, ele procura por:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit, se o host for um controlador de domínio

Por padrão, ele lê de C:, mas você pode apontar para outra letra de unidade local.

Como funciona

1. Abre o volume local selecionado, por exemplo \\.\C:.
2. Lê o setor de inicialização do NTFS e encontra $MFT.
3. Percorre os índices de diretório para Windows, System32, config e os arquivos de destino.
4. Recorre a uma varredura MFT limitada se a busca no índice perder algo.
5. Lê os dados do arquivo de destino a partir de dados residentes ou listas de execução de cluster.
6. Grava os bytes recuperados no diretório de saída como arquivos .tmp.

Requisitos

• Beacon de 64 bits em execução como administrador local ou SYSTEM.
• x86_64-w64-mingw32-gcc e make para compilação.

Compilação

make

Isso compila:

dist/rawhive.x64.o

rawhive.cna carrega o objeto de dist/, então recompile após alterar rawhive.c.

Uso

rawhive C:\Windows\Temp

Ler C: explicitamente:

rawhive C C:\Windows\Temp

Ler D: e gravar a saída em C:\Temp:

rawhive d C:\Temp

O volume pode ser escrito como C, c ou C:. O diretório de saída deve já existir.

Saída

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp

ntds.tmp só é gravado se C:\Windows\NTDS\ntds.dit existir no volume selecionado e RawHive conseguir lê-lo.

Notas

• A varredura MFT de fallback é limitada a 500.000 registros.
• As listas de execução são limitadas a 128 extensões. Se um arquivo estiver muito fragmentado, ele falha em vez de fingir que um arquivo parcial está completo.
• O analisador rejeita estruturas NTFS malformadas ou não suportadas em vez de continuar com offsets inseguros.
• Um arquivo só é relatado como extraído quando o tamanho total esperado dos dados é gravado.

Solução de problemas

outdir does not exist

O diretório que você passou está ausente no destino, ou não é um diretório.

open \\.\C: failed

Provavelmente o Beacon não tem privilégios suficientes, ou o acesso ao volume bruto está bloqueado.

not NTFS

O volume selecionado não parece ser NTFS.

$mft runlist malformed or unsupported NTFS geometry

O layout do volume não é suportado ou está danificado.

output path too long

Use um caminho de diretório de saída mais curto.

Prova de conceito