ゼロ・エクスフィル・ハイジャッキング：VMkatzがVM スナップショットから直接Windowsの認証情報を抜き出す

VMkatz

VM メモリスナップショットおよび仮想ディスクから直接 Windows 認証情報を抽出します

レッドチームの実行任務が3週間目に入っています。通信はVPNを通じてクロールし、その後4つのSOCKSプロキシをバウンスして、危険にさらされたジャンプボックスを通じてチェーンされてからターゲットネットワークに到達します。すべてのパケットは遠回りのルートをたどります。

横方向への移動から数日後、仮想化クラスタに接続されたNASに到着します。ディレクトリリストが目立ちます。.vmdk、.vmsn、.savの行の上に行があります。仮想マシンの数百ギガバイト──ドメインコントローラー、管理者ワークステーション、王冠の宝石──がそこに座っています。

しかし、リンクは200 KB/sで遅々としています。単一の100 GBディスクイメージを引き出すには6日間かかるでしょう。持続的なデータ流出の1時間ごとに、SOCが異常を検出してトンネルを切断し、チェーン全体が崩壊するというリスクが増します。

VMkatzが存在するのは、その場で読むことができるものをわざわざ流出させる必要がないからです。Windowsシークレット──NTLMハッシュ、DPAPIマスターキー、Kerberosチケット、キャッシュドメイン認証情報、LSAシークレット、NTDS.dit、BitLockerキー──を、VM メモリスナップショットと仮想ディスクから直接、NAS、ハイパーバイザー、VM ファイルがある場所ならどこでも抽出します。

単一の静的バイナリ、約3 MB。ESXiホスト、Proxmoxノード、またはNASにドロップします。.vmsn、.vmdk、またはVM フォルダー全体を指します。ディスクイメージではなく認証情報を持ち去ります。

抽出されるもの

メモリスナップショットから（LSASS）

mimikazが実装する9つすべてのSSP認証情報プロバイダー：

さらに： BitLocker FVEK メモリからの抽出（FVEc/Cngbのプールタグスキャン）。

仮想ディスクから（オフライン）

• SAMハッシュ：アカウント状態付きのローカルアカウントNT/LMハッシュ（無効化、空のパスワード）
• LSAシークレット：サービスアカウントパスワード、自動ログオン認証情報、マシンアカウントキー
• キャッシュドメイン認証情報：DCC2ハッシュ（最後のNドメインログオン）
• DPAPIマスターキー：Hashcat対応ハッシュ（$DPAPImk$ ── モード15300/15310/15900/15910）
• NTDS.dit：ドメインコントローラーディスクからの完全なActive Directoryハッシュ抽出（ネイティブESEパーサー）
• BitLocker復号化：メモリから抽出されたFVEKを使用した透過的なディスク復号化

サポートされている入力形式

対象OS：Windows Server 2003からWindows Server 2025 / Windows 11 24H2（x86 PAE + x64）。

ダウンロード＆使用