Сегодня мы воспользуемся утилитой 7z для извлечения кустов реестра, без срабатывания EDR. По сути, это техника living off the land — поскольку инструмент широко распространен. Существуют и другие способы извлечения хэшей, однако большинство из них хорошо известны и мониторятся СЗИ. Некоторые атакующие используют VSS, но обнаружить такое злоупотребление несложно (при использовании VSS в журналах остаются весьма специфические следы).
Подпишись на наш канал в телеграме, там ты найдешь огромное количество качественного контента, без инфошума и воды!
Извлечение кустов реестра
Для работы необходимо запустить 7z от имени администратора, иначе ничего не выйдет. Затем в строке пути вводится . — после чего отображаются доступные диски.
Нам нужен PhysicalDrive0. Скопировать файлы напрямую с диска C: невозможно — он заблокирован системой.
Внутри будут видны разделы физического диска. Как правило, 1.ntfs соответствует структуре C:, а 0.ntfs содержит $MFT, $J и другие файлы, полезные для углубленного анализа.
Системные кусты реестра находятся по пути WindowsSystem32config.
Выбираем нужные кусты, в данном случае мы извлекаем только SAM и SYSTEM.
Размер файлов подтверждает, что они не пусты. Теперь можно перенести их на Kali и извлечь хэши:
kali > impacket-secretsdump -sam SAM -system SYSTEM LOCAL
Получены все хэши локальных пользователей. Если LAPS не включён (а во многих средах это именно так), велика вероятность, что хэш администратора подойдет для большинства машин. Некоторые администраторы вообще не знают о существовании LAPS; другие боятся его включать, не желая терять контроль над ротацией паролей. В любом случае одного лишь SAM может оказаться достаточно для компрометации всего домена.
Терминал
Через терминал этот подход не сработает. 7z умеет разбирать физические диски и разделы NTFS только через графический интерфейс. CLI-версия не поддерживает открытие вложенных разделов и выдаёт ошибку. Таким образом, GUI — единственный способ провести данную операцию.
Итог
Многие группировки используют LOL-техники или подписанные инструменты в своих целях. Описанный подход актуален, поскольку 7z предустановлен на огромном количестве машин. Даже если его там нет, принести его с собой не вызовет подозрений. Получить хэши LSASS таким способом не получится, однако хэшей SAM вполне достаточно, чтобы скомпрометировать всю инфраструктуру компании.
Подпишись на наш канал в телеграме, там ты найдешь огромное количество качественного контента, без инфошума и воды!
*Информация в данной статье представлена исключительно в образовательных целях. Автор не несёт ответственности за возможные последствия применения советов или рекомендаций, изложенных в материале.
