Классический Impacket/secdump:
RemoteRegistry → \\pipe\\winreg → BaseRegSaveKey / BaseRegSaveKeyEx → hive-файл → SMB pull → offline parse
Это хорошо детектится: SaveKey, временный SAM hive, файловый след, SMB-чтение.
NXC regdump уже тише, но там основной SAM path всё равно выглядит так:
BaseRegOpenKey → BaseRegEnumKey(RID) → BaseRegQueryValue("V")Как можно сделать чтобы сломать паттерн детекта:
RemoteRegistry → \\pipe\\winreg → BaseRegOpenKey(BACKUP_RESTORE) → BaseRegEnumValue
Без использования:
- BaseRegSaveKey
- BaseRegSaveKeyEx
- временного hive-файла
- SMB pull
- первого BaseRegQueryValue("V")
Решение: BaseRegEnumValue возвращает ValueName, Type и Data прямо в RPC response. Поэтому данные можно забрать через enumeration, а не через query, что ломает логику многих детектов : )
