blindsight

«Не существует такого явления, как выживание наиболее приспособленных.
Возможно, выживание наиболее адекватных.
Неважно, является ли решение оптимальным.
Важно лишь то, лучше ли оно альтернативы.»

-- Питер Уоттс, «Слепое зрение» (2006)

Инструмент для red teaming, предназначенный для дампа памяти LSASS с обходом базовых контрмер. Он использует транзакционную NTFS (TxF API) для прозрачного перемешивания дампа памяти, чтобы не вызывать срабатывание AV/EDR/XDR.

Статья

• https://hnsecurity.it/blog/an-offensive-rust-encore

Смотрите также

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

Кросс-компиляция (пример для macOS)

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

Использование

В окне PowerShell, запущенном от имени администратора:

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

Примеры

Снять дамп памяти LSASS:

C:\> .\blindsight.exe

Восстановить дамп памяти:

C:\> .\blindsight.exe 29ABE9Hy.log

Протестировано на

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] Не тестируйте на production-серверах, так как доступ к LSASS может вызвать нестабильность системы!

TODO

• Оптимизировать использование памяти (просто повреждать «магические байты» вместо применения XOR?)
• Использовать litcrypt2 или аналоги для локального шифрования строк
• Разрешить указывать PID LSASS вручную, чтобы избежать шумного сканирования процессов
• Избегать прямого открытия дескриптора LSASS (например, через PssCaptureSnapshot)
• Использовать https://github.com/Kudaes/DInvoke_rs или аналогичные средства для обхода API-хуков
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• Реализовать бесфайловые каналы эксфильтрации (например, TFTP, FTP, HTTP...)
• Рассмотреть возможность создания дампа в память с использованием колбэков minidump вместо TxF API
• https://adepts.of0x.cc/hookson-hootoff/
• Рассмотреть более совершенную обработку командной строки, если минимальной функциональности недостаточно