keepass-exfil-forensics

KeePass Memory Exfiltration — Network Forensics Investigation Recovers exfiltrated data from PCAP traffic by reversing a hex → Base64 → XOR obfuscation chain used in a real DFIR CTF scenario TryHackMe, then exploits CVE-2023-32784 to recover a KeePass master password straight from a process memor...

SharpSphere

SharpSphere - Atacando infraestructura vSphere Crédito @jkcoote y @grzryc Recorrido completo y ejemplos disponibles aquí. Historial de Versiones 1.0 - Lanzamiento inicial 2.0 - Se agregó soporte para autenticación directa usando SSPI. 2.1 - Se agregó soporte para máquinas virtuales Linux objetivo...

keepass_dump

Keepass-Dumper Esta es mi implementación de PoC para CVE-2023-32784 Mi versión es un puerto en Python del PoC de @vdohney junto con algunos cambios y características adicionales. Cambios Un cambio fue usar cadenas conocidas que pueden encontrarse en el archivo de volcado para saltar con mayor...

kdmp-parser

kdmp-parser Esta biblioteca de C++ analiza volcados de memoria del kernel de Windows completos .dump /f en WinDbg, volcados BMP .dump /ka en WinDbg, así como tipos de volcado más recientes introducidos en 2022. La biblioteca admite la carga de volcados de 64 bits y proporciona acceso de lectura a...

BSOD_bitlocker_recover

Herramienta de extracción de VMK de BitLocker Este script de Python te ayuda a extraer posibles Claves Maestras de Volumen VMK de BitLocker a partir de archivos de volcado de memoria, como los generados por una Pantalla Azul de la Muerte BSOD. Es una utilidad de línea de comandos diseñada para...

Dumpy

Description This tool dynamically calls MiniDumpWriteDump to dump lsass memory content. This process is done without opening a new process handle to lsass and using DInvokers to make it harder to detect its malicious behaviour. In order to obtain a valid process handle without calling OpenProcess...

blindsight

blindsight "No existe la supervivencia del más apto. Supervivencia del más adecuado, quizás. No importa si una solución es óptima. Lo único que importa es si supera a la alternativa." -- Peter Watts, Blindsight 2006 Herramienta de red team para volcar la memoria de LSASS, evadiendo contramedidas...

Netgrave

Netgrave Una herramienta para recuperar credenciales de inicio de sesión de cámaras IP Netwave aprovechando una vulnerabilidad de volcado de memoria CVE-2018-17240. Este proyecto se inspiró en expcamera y ofrece mejoras de rendimiento y eficiencia. Esta herramienta funciona en todas las...

interrogate

Interrogate Interrogate es una herramienta de prueba de concepto para la identificación de claves criptográficas en material binario independientemente del sistema operativo objetivo, principalmente para el análisis de volcados de memoria y uso forense. Capaz de identificar claves AES, Serpent,...

KeePwn

Un script en Python para ayudar a los equipos rojos a descubrir instancias de KeePass y extraer secretos. Características Descubrimiento de KeePass Buscar archivos de instalación de KeePass a través del recurso compartido SMB C$. Aceptar múltiples fuentes de objetivo IP, CIDR, hostname, archivo...

fitness-app

Fitbit App Android de Código Abierto Esta aplicación está basada en el trabajo de Jiska Classen, Matthias Hanreich, Steffen Kreis, Tobias Krichel, Johannes Riedel y Sven Ströher. Características Escanear dispositivos Fitbit BLE Autenticarse contra el servidor de Fitbit como la aplicación original...

cve-2023-32784

CVE-2023-32784 KeePass 2.X versión 2.54 es susceptible a una vulnerabilidad en la que la contraseña maestra puede ser recuperable desde un volcado de memoria de una base de datos KeePass desbloqueada. Se le asignó CVE-2023-32784 Este programa tiene como objetivo recuperar la contraseña maestra de...

frida-ios-dump-modern

Modern iOS IPA Dumper A modern iOS application memory decryption tool built for Frida 17.5.2+ with full support for iOS 14-16 and multiple jailbreaks. Status: ✅ Working and Tested - Successfully dumps and decrypts iOS apps using Frida 17.5.2 on: iOS 14.7.1 + Taurine jailbreak iPad mini 5 iOS...

CVE-2024-33901-ProofOfConcept

CVE-2024-33901-ProofOfConcept Programa corto que demuestra la vulnerabilidad CVE-2024-33901 en KeePassXC versión 2.7.7 El informe para la clase podría necesitar el código fuente enlazado, por eso creé el repositorio para esto. Cómo replicar la vulnerabilidad 1. Abre KeePassXC y autentica la base ...

CobaltStrikeParser

CobaltStrikeParser Python parser for CobaltStrike Beacon's configuration Description Use parsebeaconconfig.py for stageless beacons, memory dumps or C2 urls with metasploit compatibility mode default true. Many stageless beacons are PEs where the beacon code itself is stored in the .data section...

DuplicateDump

DuplicateDump DuplicateDump es un fork de MirrorDump con las siguientes modificaciones: Implementación de DInovke Plugin DLL de LSA escrito en C++ que se puede limpiar después de volcar LSASS. MirrorDump compila el plugin de LSA como un ensamblado .NET que no se descargaría del proceso LSASS. Por...

gentlemen-decryptor

El Descifrador del Ransomware The Gentlemen El primer método de descifrado disponible públicamente para el ransomware The Gentlemen. The Gentlemen también conocido como hastalamuerte es actualmente la operación de ransomware como servicio RaaS más activa a nivel mundial, con más de 320 víctimas...

sshkey-grab

sshkey-grab Este script explota un error en ssh-agent que permite obtener la última clave añadida al agente. Esto puede permitir recuperar una clave que ha sido eliminada de ssh-agent mediante ssh-add -t, -d o -D, siempre que el ssh-agent no haya sido terminado y no se haya añadido una nueva clav...

WSASS

WSASS This is a tool that uses the old WerfaultSecure.exe program to dump the memory of processes protected by PPL Protected Process Light, such as LSASS.EXE. The output is in Windows MINIDUMP format. This tool automatically replaces the"MDMP" magic header with a PNG magic header. After the dump ...

PPLBlade

PPLBlade Herramienta de volcado de procesos protegidos que soporta la ofuscación del volcado de memoria y su transferencia a estaciones de trabajo remotas sin guardarlo en el disco. Funcionalidades clave : 1. Evitar la protección PPL 2. Ofuscar archivos de volcado de memoria para evadir los...