Überprüfen und stärken Sie die Zugriffsrechte auf SAM- und SYSTEM-Hives.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
SAMDump — Extract the SAM and SYSTEM hives using the Volume Shadow Copy (VSS) API. With exfiltration and XOR obfuscation options. Implemented in C#, C++, Crystal and Python
Extract the SAM and SYSTEM hives using the Volume Shadow Copy (VSS) API. With exfiltration and XOR obfuscation options. Implemented in C#, C++, Crystal and Python · Sprache: C# · Topics: malware-development, ntapi, red-team, red-team-tools, redteam, redteam-tools · ⭐ 372 Stars
SecBoard-Einordnung
Die Extraktion von SAM- und SYSTEM-Hives kann zur Kompromittierung von Benutzeranmeldeinformationen führen, was Angreifern weitreichenden Zugriff auf Netzwerke und Systeme ermöglichen könnte. Die integrierten Exfiltrations- und Verschleierungsfunktionen erhöhen die Gefahr der Datenabwanderung und der Umgehung von Erkennungsmechanismen.
Realistisch schlimmster Fall: Unbefugter Zugriff auf sensible Anmeldeinformationen, gefolgt von lateraler Bewegung innerhalb des Netzwerks und potenzieller vollständiger System- oder Netzwerkkompromittierung. Die XOR-Verschleierung könnte die Erkennung der Exfiltration erschweren.
Empfehlung: Überprüfen und stärken Sie die Zugriffsrechte auf SAM- und SYSTEM-Hives. Implementieren Sie robuste Überwachungs- und Erkennungsmechanismen für ungewöhnliche VSS-API-Nutzung und Dateizugriffe auf diese Hives. Stellen Sie sicher, dass Endpunktsicherheitslösungen die Ausführung von Tools wie SAMDump erkennen und blockieren können.
Betroffen
Organisationen, die Windows-Systeme betreiben und deren Anmeldeinformationen in SAM- und SYSTEM-Hives gespeichert sind.
Prüfen
3- ▸Überprüfen Sie die Berechtigungen für den Zugriff auf die SAM- und SYSTEM-Hives auf Ihren Windows-Systemen. Stellen Sie sicher, dass nur autorisierte Systemprozesse und Administratoren Lesezugriff haben.
- ▸Validieren Sie, ob Ihre Endpunktsicherheitslösungen (EDR/AV) die Ausführung von Tools erkennen und blockieren können, die die Volume Shadow Copy (VSS) API zur Extraktion von SAM- und SYSTEM-Hives missbrauchen.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie Ihre Protokollierungs- und Überwachungssysteme auf ungewöhnliche Aktivitäten im Zusammenhang mit der VSS-API-Nutzung oder dem Zugriff auf die Dateien 'C:\Windows\System32\config\SAM' und 'C:\Windows\System32\config\SYSTEM'.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Schwachstellen oder Konfigurationen SAMDump ausnutzt, außer der VSS-API-Nutzung.
- ▸Es werden keine spezifischen IOCs (Indicators of Compromise) oder Dateinamen des Tools genannt, außer dem Namen 'SAMDump'.
- ▸Es werden keine spezifischen betroffenen Branchen oder geografischen Regionen genannt.
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Das Tool SAMDump ermöglicht die Extraktion von SAM- und SYSTEM-Hives mittels Volume Shadow Copy (VSS) API.“
„Es bietet Optionen zur Exfiltration und XOR-Verschleierung.“
„Es bietet Optionen zur Exfiltration und XOR-Verschleierung.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- AutoPtT — Automated Pass-the-Ticket (PtT) attack. Standalone alternative to Rubeus and Mimikatz for this attack. Implemented in C#, C++, Crystal, Python and Rust
- AddUser-SAMR — Create local administrators with the SAMR API (lowest-level technique). Implemented in C#, Crystal, Python and Rust
- SAMDump — Extract the SAM and SYSTEM hives using the Volume Shadow Copy (VSS) API. With exfiltration and XOR obfuscation options. Implemented in C#, C++, Crystal and Python
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.