Silhouette

Авторы: Gabriel Landau и Mark Mager из Elastic Security.

Из доклада Hide Your Valuables — Mitigating Physical Credential Dumping Attacks, представленного на Shmoocon 2023. Слайды здесь.

Хранение секретов LSA вне физической памяти

Silhouette — это POC, который снижает риск использования физической памяти для извлечения учётных данных из LSASS. Он делает это тремя способами:

1. Активно сбрасывает страницы LSASS из ОЗУ на диск.
2. Блокирует прямой доступ к диску в пределах загрузочного тома, предотвращая атаки с прямым копированием против pagefile.sys и hiberfil.sys (например, Invoke-NinjaCopy).
3. Блокирует FILE_READ_DATA для pagefile.sys во всех снапшотах теневых копий томов, чтобы заблокировать доступ такими инструментами, как hobocopy.

Перед использованием Silhouette настоятельно рекомендуется включить RunAsPPL.

Сборка и запуск

Это proof of concept. Используйте его на свой страх и риск.

1. Скомпилируйте Silhouette.sln с помощью Visual Studio 2019. Требуется WDK. Изначально это разрабатывалось с Win11 21H2 WDK.
2. Включите тестовую подпись.
3. Зарегистрируйте службу:

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. Добавьте ключи Minifilter:

reg import FilterKeys.reg

5. Запустите службу:

sc start Silhouette

Лицензия

Silhouette распространяется по лицензии ELv2. В нём используется phnt из SystemInformer под лицензией MIT.