सस्ते और ख़ुशी के साथ विंडोज डिफेंडर के आस-पास जाना: Mimikatz को बाधित करना

सभी को नमस्कार। आज हम विंडोज 10 पर mimikatz चलाने के विकल्प पर विचार करेंगे। Mimikatz एक ऐसा टूल है जो विंडोज़ क्रेडेंशियल एडिटर की कार्यक्षमता को लागू करता है और आपको सिस्टम में लॉग इन उपयोगकर्ता के प्रमाणीकरण डेटा को खुले रूप में निकालने की अनुमति देता है।

पंचक के दौरान उपयोगकर्ता पासवर्ड्स को डंप करने वाली चीज होना उपयोगी है, लेकिन अब विंडोज में निर्मित मानक विंडोज डिफेंडर भी एक समस्या बन रहा है और हमारी भव्य योजनाओं में हस्तक्षेप कर सकता है।

मैं ध्यान देता हूं कि यह विधि अन्य एंटीवायरस उत्पादों के लिए भी उपयुक्त है (Virustotal BEFORE और AFTER भी ऐसा ही सोचते हैं), जो हस्ताक्षर द्वारा बायनेरिज़ का स्थैतिक विश्लेषण करते हैं।
इसलिए, यद्यपि यह विधि EDR समाधानों के खिलाफ आपकी मदद करने की संभावना नहीं है, यह आसानी से विंडोज डिफेंडर के आसपास हो सकता है।

पहले, आप फ़ाइल में शब्दों को mimikatz से mimidogz में बदलकर, मेटाडेटा और बैनरों में कुछ पंक्तियों को हटा सकते हैं। अब यह अधिक कठिन हो गया है, लेकिन अभी भी संभव है।

इस सारी कार्रवाई के विचार के लिए मैं उस व्यक्ति के प्रति आभार व्यक्त करता हूं जिसके उपनाम ippsec हैं।

इस लेख में हम उपयोग करेंगे:

• विंडोज 10 के साथ विंडोज डिफेंडर सक्षम (अद्यतन डेटाबेस के साथ)
• Mimikatz
• दृश्य स्टूडियो
• HxD (हेक्स संपादक)

पीड़ित के कंप्यूटर में नकल करने के लिए, हमें इस तरह के अलर्ट को देखने की उम्मीद है।



अगला, हम जोड़तोड़ की एक श्रृंखला को आगे बढ़ाएंगे ताकि डिफेंडर यहां खतरे को देखना बंद कर दे।

सबसे पहले, हम mimikatz शब्दों को ढूंढेंगे और प्रतिस्थापित करेंगे। उदाहरण के लिए mimikatz को thunt से बदलें (आप इसे किसी भी चीज़ से बदल सकते हैं), और MIMIKATZ को THUNT के साथ। यह कुछ इस तरह दिखता है।


अगला, हम फ़ाइल स्टूडियो में mimikatz \ mimikatz \ mimikatz.rc को संपादित करेंगे (जो कि हमारे प्रतिस्थापन के बाद अब thunt.rc है), कुछ भी के साथ mimikatz और gentilkiwi की जगह, हम भी किसी अन्य आइकन के साथ mimikatz.ico को बदलना नहीं भूलेंगे। "समाधान का पुनर्निर्माण करें" पर क्लिक करें (या समाधान का पुनर्निर्माण करें) और mimikatz के हमारे अपडेट किए गए संस्करण को प्राप्त करें। हम पीड़ितों को कंप्यूटर पर कॉपी करते हैं, ii ... सतर्क। आइए जानें कि डिफेंडर किस लिए काम करता है। सबसे आसान तरीका एंटीवायरस के पहले ऑपरेशन से पहले एक अलग आकार के साथ एक बाइनरी कॉपी करना है।

सबसे पहले, आधे को कॉपी करें और इसे विंडोज 10 मशीन पर कॉपी करें।

head –c 600000 mimikatz.exe > hunt.exe 

डिफेंडर चुप है, पहले से ही बुरा नहीं है। प्रयोग करते हुए, हम पहला ऑपरेशन पाते हैं। यह मेरे लिए इस तरह देखा:

 head -c 900000 mimikatz.exe > hunt.exe –   head -c 950000 mimikatz.exe > hunt.exe –  head -c 920000 mimikatz.exe > hunt.exe –   head -c 930000 mimikatz.exe > hunt.exe –   head -c 940000 mimikatz.exe > hunt.exe –  head -c 935000 mimikatz.exe > hunt.exe –   head -c 937000 mimikatz.exe > hunt.exe –  head -c 936000 mimikatz.exe > hunt.exe –   head -c 936500 mimikatz.exe > hunt.exe –  head -c 936400 mimikatz.exe > hunt.exe –  head -c 936300 mimikatz.exe > hunt.exe –  head -c 936200 mimikatz.exe > hunt.exe –   

हेक्स संपादक में हंट.exe खोलें और डिफेंडर के लिए क्या काम कर सकते हैं, इसे देखें। आंख ने KiwiAndRegistryTools स्ट्रिंग को पकड़ लिया।



आइए एक यादृच्छिक कैप्स के साथ खेलें - यह KiWIAnDReGiSTrYToOlS बन जाता है, सहेजें और कॉपी करें। मौन, जिसका अर्थ है कि हमने सही अनुमान लगाया है। अब हम कोड में इन लाइनों की सभी घटनाओं को देखेंगे, हमारी परियोजना को प्रतिस्थापित और पुनर्निर्माण करेंगे। जांच करने के लिए, हेड -c 936300 mimikatz.exe> ​​Hunt.exe निष्पादित करें। पिछली बार डिफेंडर ने काम किया था, अब नहीं। चल रहा है।


इस तरह से एक ट्रिकी तरीके से, हमारे हंट। Ex में अधिक से अधिक पंक्तियों को जोड़ते हुए, ट्रिगर शब्दों की खोज की गई - wdigest.dll, isBase64InterceptOutput, isBase64InterceptInput, multirdp, logonassasswords, क्रेडमैन। एक यादृच्छिक टोपी के साथ उन्हें बदलते हुए, मैंने यह सुनिश्चित किया कि डिफेंडर ने उन पर शपथ लेना बंद कर दिया।
लेकिन यह इतना आसान नहीं हो सकता है, डिफेंडर ने उन कार्यों के लिए सोचा और काम किया है जो आयात और संवेदनशील हैं। ये फ़ंक्शन हैं जो netapi32.dll लाइब्रेरी से कॉल किए जाते हैं।

• I_NetServerAuthenticate2
• I_NetServerReqChallenge
• I_NetServerTrustPasswordsGet

यदि हम netapi32.dll (C: \ windows \ system32 \ netapi32.dll) पर एक नज़र डालते हैं, तो हम देखेंगे कि प्रत्येक फ़ंक्शन को एक नंबर दिया गया है।



फ़ंक्शन कॉल को फ़ॉर्म से बदलें
windows.netapi32.I_NetServerTrustPasswordsGet (args)
पर
windows.netapi32 [62] (args)
ऐसा करने के लिए, हमें mimikatz \ lib \ x64 \ netapi32.min.lib को बदलने की आवश्यकता है। एक netapi32.def फ़ाइल बनाएँ और वहाँ निम्न पंक्तियाँ लिखें:

 LIBRARY netapi32.dll EXPORTS I_NetServerAuthenticate2 @ 59 I_NetServerReqChallenge @ 65 I_NetServerTrustPasswordsGet @ 62 

हम कमांड को सहेजते और कार्यान्वित करते हैं (मूल नेटापी 32.min.lib को केवल मामले में बैकअप करना न भूलें)

 lib /DEF:netapi32.def /OUT:netapi32.min.lib 

एक बार फिर, हम परियोजना का पुनर्निर्माण करेंगे और जो हमें मिला उसे कॉपी करेंगे। डिफेंडर चुप है। व्यवस्थापक अधिकारों के साथ परिणामी mimikatz चलाएं।



सफलता। इस प्रकार, mimikatz लॉन्च किया गया है और विंडोज डिफेंडर ने काम नहीं किया है, जो कि हम लक्ष्य कर रहे थे। पासवर्ड, दिखावे और हैश जारी किए जाते हैं।

नुकसान

उम्मीद:

 * Username : thunt * Domain : DESKTOP-JJRBJJA * Password : Xp3#2!^&qrizc 

वास्तविकता:

 * Username : thunt * Domain : DESKTOP-JJRBJJA * Password : (null) 

जीवन की स्थिति प्रयोगशाला की स्थितियों से कुछ अलग है। पासवर्ड देखने के लिए आपको रजिस्ट्री के साथ काम करना पड़ सकता है। उदाहरण के लिए, एक UseLogonCredential कुंजी सक्षम करें या बनाएं (HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ WDigest)। लेकिन इस के साथ समस्याएं हो सकती हैं, जैसा कि रिबूट करते समय, चाबियाँ वापस सेट की जा सकती हैं।

यह और भी बुरा हो सकता है, यदि आप विंडोज 10 के नवीनतम संस्करणों में से एक पर चलते हैं, तो सादे पाठ में पासवर्ड के बजाय आप देखेंगे:

 * Password : _TBAL_{68EDDCF5-0AEB-4C28-A770-AF5302ECA3C9} 

यह सब टीबीएएल के बारे में है, जो ऑटोमैटिक रिस्टार्ट साइन-ऑन ( एआरएसओ ) का उत्तराधिकारी है। अब, जब टीबीएएल का अनुरोध किया जाता है, तो lsasrv यह जांचता है कि खाता स्थानीय है या एमएस खाता, और, इसके आधार पर, उपयोगकर्ता सत्र को फिर से शुरू करने के लिए आवश्यक सब कुछ बचाने के लिए msv1_0 या क्लाउडैप का उपयोग करता है। उसके बाद, ऑटोलॉग तंत्र एक हार्ड-कोडेड पासवर्ड _TBAL_ {68EDDCF5-0AEB-4C28-A770-AF5302ECA3C9} पर सेट होता है।

फिर भी, प्रयोगशाला में हमने उपयोगकर्ता का पासवर्ड प्राप्त किया, और एक युद्ध की स्थिति में, कम से कम हम हैश प्राप्त कर सकते हैं।