LSASS NTLMs Extractor with ICMP Exfiltration and IPS Bypass
Creators: name: Brigatti, Riccardo
Publisher: name: Scuola Universitaria della Svizzera Italiana (SUPSI)
Year: 2023

description: Utilizzando un approccio di Defense Engineer, l'obiettivo era analizzare uno dei principali bersagli dei cybercriminali per compromettere un ambiente Windows: il processo LSASS.exe. Tuttavia, la complessità di questa sfida è accentuata dal fatto che queste strutture interne di Windows non sono documentate pubblicamente. Ciò richiede un'analisi esaustiva mediante tecniche come l'ingegneria inversa e il debug in tempo reale. Il principale obiettivo era comprendere queste strutture e sviluppare un agente in C++ in grado di penetrare nelle profondità della sezione MSV (Microsoft Security Packages) all'interno del processo LSASS.exe, responsabile di memorizzare le credenziali NTLM degli utenti connessi, direttamente in memoria senza creare un file di dump. Inoltre, analizzando il protocollo ICMP, il secondo obiettivo era trovare un modo per creare un sistema di comunicazione utilizzando la steganografia per inviare i dati MSV a un server remoto controllato dall'attaccante. Questa comunicazione mirava a eludere tutte le regole rilasciate da Cisco per il sistema di prevenzione delle intrusioni Snort. Per fare ciò, il pacchetto IPv4 è stato analizzato, ricostruito e inviato direttamente come byte su un socket raw, sfruttando le avanzate funzionalità di sviluppo di rete dei linguaggi Golang e C++. Una volta individuato un metodo per esfiltrare informazioni eludendo tutte le regole, il passo successivo è stato creare nuove regole in grado di bloccare questo agente e rafforzare la sicurezza complessiva dell'ambiente. Il server C2 è stato sviluppato utilizzando un approccio nativo per il cloud e strutturato come microservizi, tutti sviluppati in Golang. Il risultato è un prototipo in grado di recuperare direttamente le informazioni di accesso dalla memoria di una Workstation Windows 11, eludendo la rilevazione di un Windows Defender completamente aggiornato (31.08.2023), comunicandole al server C2 tramite il protocollo ICMP e bypassando tutte le regole stabilite da Cisco per Snort IDS. Questo prodotto potrebbe essere impiegato per attività di red teaming in ambienti con restrizioni di networking. ____ Using a Defense Engineering approach, the goal was to analyze one of the main targets of cybercriminals for compromising a Windows environment: the LSASS.exe (Local Security Authority Subsystem Service) process. However, the complexity of this task is compounded by the fact that these internal Windows structures are not publicly documented. This necessitates an exhaustive analysis using techniques such as reverse engineering and runtime debugging. The primary goal was to understand these structures and develop a C++ agent capable of penetrating the depths of the MSV (Microsoft Security Packages) section within the LSASS.exe process, which is responsible for storing the NTLM credentials of logged-in users, directly in memory without creating a dump file. Additionally, by analyzing the ICMP protocol, the second goal was to find a way to create a communication system using steganography to send the MSV data to a remote attacker-controlled server. This communication is intended to bypass all of the rules released by Cisco for the Snort intrusion prevention system. To do this, the IPv4 packet has been analyzed, reconstructed, and sent directly as bytes over a raw socket, exploiting the advanced network development features of the Golang and C++ programming languages. Once a method of exfiltrating information while bypassing all rules has been identified, the next step was to create new rules that can block this agent and strengthen the overall security posture of the environment. titolo documento 3/3 The C2 server has been developed using a cloud-native approach and structured as microservices, all developed in Golang. The outcome is a prototype capable of retrieving Logon information directly from memory on a Windows 11 workstation, while evading the detection of a full updated Windows Defender (31.08.2023), communicating it to the C2 server via ICMP protocol, and bypassing all the rules established by Cisco for Snort IDS. This product may be employed for red teaming activities within network-restricted environments.