Como extraer credenciales de la memoria de Windows con Mimikatz
Como extraer credenciales de la memoria de Windows con Mimikatz
Mimikatz es una herramienta de ciberseguridad muy conocida que se utiliza para extraer credenciales de la memoria de los sistemas Windows. Fue creada originalmente por Benjamin Delpy como una prueba de concepto, pero se ha convertido en una herramienta indispensable tanto para los profesionales de la ciberseguridad (red teams y pen testers) como para los ciberdelincuentes.
¿Cómo funciona Mimikatz?
Mimikatz se aprovecha de la forma en que el sistema operativo Windows gestiona las credenciales en la memoria del sistema (específicamente en el proceso lsass.exe). Puede extraer contraseñas en texto plano, hashes de contraseñas, PINs y tickets de Kerberos.
Uso básico de Mimikatz
Descarga y ejecución:
Descarga la versión correcta de Mimikatz (32-bit o 64-bit) desde el repositorio oficial de GitHub.
Mimikatz debe ejecutarse con permisos de administrador. Si ya estás usando una cuenta de administrador, aún así debes seleccionar "Ejecutar como administrador".
Debido a su naturaleza, los antivirus y el software de protección de endpoints a menudo lo detectan como una amenaza. Puede que necesites desactivar temporalmente estas protecciones en tu entorno de pruebas o usar técnicas para evadir la detección.
Módulo
sekurlsa:Este es el módulo más popular y se usa para volcar contraseñas y credenciales de la memoria.
Antes de usarlo, es necesario elevar los privilegios de Mimikatz con el comando
privilege::debug.Para volcar las credenciales, utiliza el comando
sekurlsa::logonpasswords. Esto te mostrará las contraseñas en texto plano, los hashes y los tickets de Kerberos de las sesiones activas en el sistema.
Ejemplo de comandos:
mimikatz.exe(para iniciar la herramienta)privilege::debug(para elevar privilegios)sekurlsa::logonpasswords(para volcar credenciales)exit(para salir)
Módulo
crypto:Este módulo te permite acceder a la API de criptografía de Windows (CryptoAPI).
Con él, puedes listar y exportar certificados y sus claves privadas, incluso si están marcados como "no exportables". Esto es útil para la investigación de seguridad y las pruebas de penetración.
Por qué Mimikatz es tan importante
Pruebas de penetración: Los profesionales de la seguridad lo usan para demostrar la vulnerabilidad de una red. Al mostrar que pueden extraer credenciales y moverse lateralmente a través de la red, pueden ayudar a una organización a entender y mitigar sus riesgos.
Movimiento lateral: Una vez que un atacante (o un pen tester) ha comprometido un sistema, puede usar Mimikatz para obtener credenciales y usarlas para acceder a otros sistemas dentro de la misma red, escalando así sus privilegios.
"Pass-the-Hash" y "Golden Tickets": Mimikatz no solo volca contraseñas en texto plano, sino que también puede usar los hashes de contraseñas para autenticarse en otros sistemas sin necesidad de descifrar la contraseña. También puede generar "Golden Tickets" de Kerberos, que permiten a un atacante hacerse pasar por cualquier usuario en un dominio durante un largo período de tiempo.
En resumen, Mimikatz es una herramienta extremadamente poderosa y versátil para entender y explotar las debilidades del sistema de autenticación de Windows. Si bien es una herramienta muy valiosa para la ciberseguridad defensiva, su uso ilegal puede tener graves consecuencias.
Como instalar: sudo apt install mimikatz
