беспалевный скан сетки

[Premium]

коллеги.
в интернетах вычитал, что когда происходит скан мячиком или бладхаундом, у голубых там все искрится и звучит школьный звонок. на своем опыте замечал, что доступ можно потерять только после одного хорошего скана без прочих телодвижений.
какие есть альтернативы?

 

[beffjezos]

In my experience, ADExplorer is stealthier than Bloodhound, at least on endpoint level. After you get an ADExplorer snapshot you can use a converter (https://github.com/c3c/ADExplorerSnapshot.py) to import the data inside Bloodhound. It won't gather all data that Bloodhound collects (which is great, since BH in default settings is noisy as hell), but it's enough to start discovering the domain and plan the next moves.

 

[Encommerce]

Свой софт, написанный с нуля. Но NTA все равно пропалит. Сетевую активность невозможно скрыть.

 

[beffjezos]

Свой софт, написанный с нуля. Но NTA все равно пропалит. Сетевую активность невозможно скрыть.

Disagreed. Using well-known non-malicious software such as ADExplorer is definitely better, especially if it's signed. I never had it flagged as malicious. But I agree on the network part.

 

[Premium]

Well, using that logic we may also conclude that softperfect's network scanner is okayish as well because many admins use it. My impression is that what really matters is the overall noise (or, footprint, if you will) made by the software. BH is very loud. I'll look into ADE, though, it's not a scanner as such.

 

[downshifter]

Есть еще такое - https://github.com/layer8secure/SilentHound
Что скажете?

 

[beffjezos]

Well, using that logic we may also conclude that softperfect's network scanner is okayish as well because many admins use it. My impression is that what really matters is the overall noise (or, footprint, if you will) made by the software. BH is very loud. I'll look into ADE, though, it's not a scanner as such.

If you care about keeping the overall noise low you should query the domain for what you want only, for example using AD Module (which is also signed by Microsoft). That way it's almost undetectable on network level if you extract all the information you need slowly.

 

[isucukbx]

в интернетах вычитал, что когда происходит скан мячиком или бладхаундом, у голубых там все искрится и звучит школьный звонок. на своем опыте замечал, что доступ можно потерять только после одного хорошего скана без прочих телодвижений.

В бладхаунде есть метод dconly, чтобы он не ходил по всем тачкам пытаясь энумить сессии(все равно не выйдет если ты не локал админ на тачке, если win10/server2016 > build 1607)
На первое ответ - вообще не сканить порты по всей сетке
Если есть креды от ад, то почти всю нужную инфу можно достать из него(ldap, adidns, etc)

Есть еще такое - https://github.com/layer8secure/SilentHound
Что скажете?

Было бы прикольно если бы добавили конвертер в формат БХ
Давно еще обещали, но так и не сделали

 

[0x60b1iN]

Не сканируй через BH, он очень шумный, SH примерно тоже самое. Лучше ручками выборочно через дефолтный AD модуль в PowerShell, или PowerView. И сканируй из под процесса, который может генерировать адешный трафик.