ADSyncDump BOF

BOF ADSyncDump — это порт adconnectdump.py / ADSyncDecrypt от Диркьяна Моллемы в формат Beacon Object File (BOF) для использования с Cobalt Strike, Sliver и Havoc.

[!NOTE] Инструмент протестирован на Windows Server 2019 с Azure AD Connect версии 2.2.1.0. 32-битная версия BOF не тестировалась, но я включил её для полноты. Используйте на свой страх и риск.

Компиляция

Для компиляции BOF просто выполните make в каталоге, содержащем исходный код. Будут созданы как 32-битная, так и 64-битная версии BOF.

make

Использование

В Cobalt Strike загрузите скрипт adsyncdump.cna; для Sliver используйте команды extension install и extension load для установки BOF. После установки выполните латеральное перемещение на сервер AD Sync под учётной записью NT AUTHORITY\SYSTEM и запустите команду adsyncdump:

beacon> adsyncdump

Предыстория

Этот BOF появился пару лет назад во время одного заказа, когда я столкнулся с проблемами: оригинальный Python-скрипт был слишком навязчивым для клиентских систем, а у меня не получалось заставить .NET-версию работать корректно. Поэтому я решил в свободное время провести реверс-инжиниринг точных вызовов Win32 API, используемых в процессе расшифровки, и портировать его в BOF.

Изначально я не планировал делиться этим проектом, поскольку считал, что это было бы безответственно: учётная запись ADSync обладала абсурдными привилегиями, а детектирование существующих инструментов оставляло желать лучшего. Однако с тех пор Microsoft серьёзно ограничила привилегии учётной записи ADSync, что снизило серьёзность последствий (всё ещё не идеально, но по крайней мере вы больше не можете редактировать политики условного доступа¹).

Кроме того, учитывая, что другие исследователи уже опубликовали информацию о внутреннем устройстве процесса расшифровки (большой респект доктору Сюйнимаа² и Диркьяну Моллеме³), а также тот факт, что детектирование стало более распространённым, я теперь чувствую себя более комфортно, делясь этим BOF с сообществом (извините, что опоздал на вечеринку).

Лицензия

Этот проект лицензирован под лицензией MIT — подробности см. в файле LICENSE. Я не несу никакой ответственности за неправомерное использование или ущерб, причинённый в результате использования этого инструмента. Используйте его только в тех средах, где у вас есть явное разрешение на это.