# FUNCIONAMIENTO DE MIMIKATZ
Mimikatz es una herramienta de código abierto creada por Benjamin Delpy, utilizada para extraer credenciales de seguridad almacenadas en sistemas Windows. Permite obtener hashes de contraseñas, tickets de autenticación y claves de sesión directamente desde la memoria del sistema. Su capacidad más destacada es realizar ataques de "pass the hash", permitiendo la autenticación en otros sistemas sin conocer la contraseña real. Esta herramienta es comúnmente usada tanto por profesionales de seguridad para evaluar vulnerabilidades como por cibercriminales para actos ilícitos.
Funcionalidades Principales
Dumping de Credenciales:
-
LSASS (Local Security Authority Subsystem Service): Mimikatz puede extraer las credenciales almacenadas en la memoria del proceso LSASS, incluyendo contraseñas en texto plano, hashes NTLM, y tickets de Kerberos. DCSync: Simula el comportamiento de un controlador de dominio para solicitar información de replicación de contraseñas desde otros controladores de dominio, facilitando la obtención de contraseñas de usuarios sin tener acceso directo a los sistemas donde están almacenadas. Manipulación de Tokens:
-
Pass-the-Hash: Permite a los atacantes autenticarse utilizando un hash NTLM en lugar de la contraseña en texto claro. Pass-the-Ticket: Usa tickets de Kerberos capturados para autenticarse en otros sistemas sin necesidad de conocer las credenciales originales. Golden Ticket y Silver Ticket:
-
Golden Ticket: Creación de tickets de concesión de Kerberos (TGT) falsos que permiten acceso a cualquier recurso en el dominio, normalmente utilizados para obtener acceso persistente. Silver Ticket: Creación de tickets de servicio (TGS) que permiten acceso a servicios específicos sin necesidad de un TGT legítimo.
-
Kerberos Overpass-the-Hash (Pass-the-Key): Permite el uso de una contraseña de texto claro o un hash NTLM para solicitar un TGT Kerberos, facilitando el movimiento lateral en una red.
# Cracking Password Windows
Para realizar la prueba de seguridad, he descargado la imagen de Windows 7 y la he configurado como máquina víctima. Desde Kali Linux, he establecido una bind shell en la máquina Windows 7. A través de esta bind shell, ejecutaré Mimikatz para crackear la contraseña.
Inician Mimikatz.
El módulo privilege::debug se utiliza para habilitar los privilegios de depuración en el sistema operativo. Esto es porque Mimikatz necesita ciertos privilegios elevados para realizar algunas operaciones que así lo requieran.
El módulo sekurlsa::logonpasswords se utiliza para extraer información de las credenciales de usuario almacenadas en la memoria del sistema operativo Windows. Este comando permite recuperar contraseñas en texto claro, hashes de contraseñas, tickets Kerberos y otros datos relacionados con las sesiones de inicio de sesión.
Como se observa en la anterior captura, la contraseña fue extraída SoyR3LI4NT; pero a veces no suele ser tan fácil, este valor puede aparecer como dato de tipo Null. Entonces para ello lo debemos hacer es copiar el hash NTLM y lo guardamos en un fichero junto con el usuario (en este caso Windows7:5fd443b9890d8aa8b5fcf26f090e743d).
Por último, con la herramienta de JohnTheRipper crackeamos el hash que guardamos.
$ john --wordlist=RUTA-DICCIONARIO --format=NT <hash>.txt# MITIGAR EL RIESGO
Para mitigar el riesgo asociado con Mimikatz se recomienda aplicar parches de seguridad y mantener el antivirus actualizado, usar el modo "Protección adicional de credenciales" (Credential Guard), limitar los privilegios de los usuarios y las cuebtas de servicio. Por otro lado, implementar autenticación multifactor (MFA) ayuda a agregar una capa adicional de seguridad, así como también utilizar una contraseña fuerte.
En las versiones de Windows 8.1 y posteriores, se puede desactivar WDigest, lo que impide que las credenciales se almacenen en memoria de texto claro. Abren el símbolo de sistema como administrador y ejecutan el siguiente comando:
$ reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 0 /f."?