r4wd3r/subornerСоздает невидимые учетные записи Windows с привилегиями администратора путем прямого манипулирования SAM и перехвата RID, обходя стандартные API управления пользователями и журналирование событий для скрытого закрепления.
Простая программа для создания учетной записи Windows, о которой будете знать только вы :)
net user или приложений управления пользователями ОС Windows (например, netapi32::netuseradd)Создайте невидимую учетную запись компьютера с правами администратора, не вызывая надоедливый Windows Event Logger для регистрации её создания!
Представлено на Black Hat USA 2022: Suborner: A Windows Bribery for Invisible Persistence
@inproceedings{10.1145/3689934.3690839,
author = {Castro, Sebasti\'{a}n R. and C\'{a}rdenas, Alvaro A.},
title = {Ghost in the SAM: Stealthy, Robust, and Privileged Persistence through Invisible Accounts},
year = {2024},
isbn = {9798400712302},
publisher = {Association for Computing Machinery},
address = {New York, NY, USA},
url = {https://doi.org/10.1145/3689934.3690839},
doi = {10.1145/3689934.3690839},
pages = {59–72},
numpages = {14},
}
git clone https://github.com/r4wd3r/Suborner/Скачайте последний релиз и взламывайте!
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
88
.d88888b. S U B O R N E R
d88P 88"88b
Y88b.88 The Invisible Account Forger
"Y88888b. by @r4wd3r
88"88b v1.0.1
Y88b 88.88P
"Y88888P" https://r4wsec.com
88
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
Description:
A stealthy tool to create invisible accounts on Windows systems.
Parameters:
USERNAME: Username for the new suborner account. Default = <HOSTNAME>$
Syntax: /username:[string]
PASSWORD: Password for the new suborner account. Default = Password.1
Syntax: /password:[string]
RID: RID for the new suborner account. Default = Next RID available
Syntax: /rid:[decimal int]
RIDHIJACK: RID of the account to impersonate. Default = 500 (Administrator)
Syntax: /ridhijack:[decimal int]
TEMPLATE: RID of the account to use as template for the new account creation. Default = 500 (Administrator)
Syntax: /template:[decimal int]
MACHINEACCOUNT: Forge as machine account for extra stealthiness. Default = yes
Syntax: /machineaccount:[yes/no]
DEBUG: Enable debug mode for verbose logging. Default = disabled
Syntax: /debug
Эта атака была бы невозможна без выдающихся исследований, проведенных:
Взламывай Подкупай планету!