Hace tiempo estuvimos probando un extensión de Mimikatz para WinDBG con la que podíamos extraer las contraseñas de Windows en claro desde un volcado de memoria, es decir, de modo totalmente off-line. Ahora podemos hacerlo también directamente desde Volatility gracias a un plugin que ha creado Francesco Picasso de Zena Forensics.
Para probarlo empezaremos obteniendo un volcado de memoria de la máquina de la víctima. En esta ocasión lo haremos mediante Belkasoft Love RAM Capturer, una pequeña herramienta gratuita para obtener el contenido completo de la memoria volatil que incluso incluye medidas contra sistemas anti-debugging y anti-dumping.
Ahora actualizamos el repositorio de Zena Forensic, al que bautizaron hotoloti (git clone https://code.google.com/p/hotoloti/) o descargamos directamente el script en Python mimikatz.py y después lo copiamos en la carpeta de plugins de Volatility.
Probablemente al ejecutar Volatility con este plugin tendrás que instalar algún módulo adicional de Python, en mi caso pycrypto, construct y six.
Finalmente lo ejecutamos y... voilà!
Para probarlo empezaremos obteniendo un volcado de memoria de la máquina de la víctima. En esta ocasión lo haremos mediante Belkasoft Love RAM Capturer, una pequeña herramienta gratuita para obtener el contenido completo de la memoria volatil que incluso incluye medidas contra sistemas anti-debugging y anti-dumping.
Ahora actualizamos el repositorio de Zena Forensic, al que bautizaron hotoloti (git clone https://code.google.com/p/hotoloti/) o descargamos directamente el script en Python mimikatz.py y después lo copiamos en la carpeta de plugins de Volatility.
Probablemente al ejecutar Volatility con este plugin tendrás que instalar algún módulo adicional de Python, en mi caso pycrypto, construct y six.
Finalmente lo ejecutamos y... voilà!
D:\Python27\Scripts>vol.py --profile=Win7SP0x64 -f d:\hotoloti\20140326.mem mimikatz
Volatility Foundation Volatility Framework 2.3.1
WARNING : volatility.obj : NoneObject as string: Invalid offset 4526360 for
dereferencing Buffer as String
WARNING : volatility.plugins.mimikatz: [Credential:decrypt_epwd] unicode decode
error
Module User Domain Password
-------- ---------------- ---------------- -------------------------------------
---
wdigest vmotos DOMINIO contraseña_en_claro
wdigest PC_CASA_3$ DOMINIO 22d38e7bd5c740e0aa7...f4f436cb11bb123165
Comentarios
Publicar un comentario