KslKatzBOF

Beacon Object File (BOF) для извлечения учетных данных LSASS на линии из C2 с использованием техники BYOVD через KslD.sys.

Этот проект основан на публикации в блоге: https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team

Авторство

Этот BOF основан на KslKatz (Maximilian Barz), который, в свою очередь, построен на двух основополагающих проектах:

• KslDump – доступ к физической памяти через BYOVD с помощью KslD.sys (драйвер ядра Microsoft Defender)
• GhostKatz – извлечение LSASS на основе BOF через физическую память

Также основным источником уязвимости, по-видимому, является maxkray13 и его проект Defender

Что делает

Извлекает учетные данные из LSASS, защищенного PPL, без внедрения в процесс, используя только компоненты, подписанные Microsoft и уже присутствующие на диске:

• MSV1_0 — NT-хеши для каждого сеанса входа
• WDigest — пароли в открытом виде (когда включено кэширование)

Сборка

make

Создает bin/kslkatzbof.x64.o.

Использование

Загрузите BOF с помощью вашего предпочтительного загрузчика BOF.

Отказ от ответственности

Только для авторизованного тестирования безопасности. Неправомерное использование этого инструмента против систем без явного разрешения незаконно.