#mimikatz — Public Fediverse posts

VMkatz: скрытая угроза для виртуальной инфраструктуры

В 2026 году был опубликован инструмент VMkatz. По функционалу он напоминает широко известный инструмент Mimikatz, но, в отличие от него, целью VMkatz является извлечение учетных данных напрямую из файлов виртуальных машин (снимков памяти и виртуальных дисков) без необходимости входа внутрь гостевых Windows-систем. VMkatz может работать с файлами виртуальных машин разных платформ, включая VMware ESXi, Microsoft Hyper-V, VirtualBox и QEMU/KVM.

https://habr.com/ru/companies/pt/articles/1057588/

#mimikatz #dfir #vmkatz #инструментарий #esxi #vmware_esxi #virtualbox

Mimikatz token::elevate duplicates tokens to spawn a SYSTEM process from admin context, enabling LSASS credential dumping. token::revert restores original token. Works on Windows 7, Server 2008 R2+ x64. #mimikatz #token-manipulation #ValtersIT

https://www.valtersit.com/vault/mimikatz-token-manipulation-for-credential-access-0be869/

The Mimikatz Missing Manual: a very good and detailed Guide about the famous open-source Tool used for Credential Extraction on Windows #Infosec #Mimikatz https://darkoperator.github.io/mimikatz-missing-manual/

Lateral movement w Active Directory z wykorzystaniem WinRM

Lateral movement (często tłumaczony jako ruch boczny) w środowiskach Active Directory bardzo rzadko opiera się na podatnościach w rozumieniu tych dostępnych w ramach bazy CVE. W praktyce znacznie częściej jest to konsekwencja nadużycia wbudowanych mechanizmów administracyjnych, które zostały zaprojektowane z myślą o automatyzacji i zdalnym zarządzaniu systemami z rodziny Windows....

#Teksty #Metasploit #Mimikatz #Netsec #Poradnik #Powershell #Winrm

https://sekurak.pl/lateral-movement-w-active-directory-z-wykorzystaniem-winrm/

Защита процесса lsass от credential dumping

Процесс lsass.exe (Local Security Authority Subsystem Service) — критически важный компонент ОС Windows. Он отвечает за аутентификацию пользователей и управление учетными данными. В его памяти хранятся хэши паролей NTLM, билеты Kerberos, данные сессий, а в некоторых конфигурациях — даже пароли в открытом виде, если используется устаревший протокол WDigest. Столь высокая концентрация секретов делает lsass.exe лакомой целью для злоумышленников, получивших доступ к системе. После Initial Access фазы атакующий будет стремиться повысить привилегии и двигаться дальше по сети. Дамп памяти lsass.exe — самый прямой и часто самый простой способ достичь этих целей, поскольку при отсутствии защиты атакующий очень легко извлекает оттуда данные для проведения атак Pass-the-hash и Pass-the-ticket. В то же время, для атаки на незащищенный lsass.exe, нужно сравнительно немного: права локального администратора и Mimikatz. Таким образом, защиту этого процесса, по моему мнению, нужно внести в базовый набор мероприятий для любой инфраструктуры с Windows-машинами. Существуют различные методы получения дампа lsass.exe. В материале мы рассмотрим как тривиальные, так и более изощренные, но не с позиции атакующего. Поскольку основная часть материала будет посвящена методам защиты lsass от извлечения данных, знакомство с различными способами атаки будет играть вспомогательную роль для лучшего понимания механики защитных мер.

https://habr.com/ru/companies/first/articles/943490/

#lsass #mimikatz #credentials

Python alternative to #Mimikatz lsadump::dcshadow
https://github.com/ShutdownRepo/dcshadow

GentilKiwi keynote at BluehatIL, #mimikatz

https://www.youtube.com/watch?v=11A8ltaMoJA

Emulating the Blazing DragonForce Ransomware – Source: securityboulevard.com https://ciso2ciso.com/emulating-the-blazing-dragonforce-ransomware-source-securityboulevard-com/ #rssfeedpostgeneratorecho #SecurityBloggersNetwork #ransomwareasaservice #adversaryemulation #Broad-BasedAttacks #CyberSecurityNews #SecurityBoulevard #DragonForce #ransomware #Mimikatz #Lockbit

Asking the fediverse: Which tools, inlcuding #mimikatz, can be used today to extract ALL generations of password hashes stored on a windows client/server, and how?

Some orgs still use standard Windows option for blocking reuse of N previous passwords, meaning the hashes of those old passwords are stored as well.

If extracted and cracked, attackers can gain VERY valuable info on password patterns used by users.

Охота за кредами

Существуют различные способы аутентификации в системах Windows, каждый из этих способов сохраняет или кэширует переданные учетные данные. В этом модуле мы рассмотрим основные типы аутентификации и места кэширования переданных данных, а также разберем, как можно получить к ним доступ.

https://habr.com/ru/articles/806831/

#CredentialAccess #SAM #LSA #lsass #NTDSDIT #mimikatz #windows #active_directory #redteam #pentest

Cool stuff https://github.com/Meckazin/ChromeKatz

#infosec #chrome #mimikatz

Эксперименты с Golden Ticket

Пожалуй, одной из самых опасных и крайне нежелательных сущностей, которые могут завестись в скомпрометированной Windows-инфраструктуре, является Golden Ticket. Это абсолютно легитимный Kerberos-билет, содержащий специально созданные данные, позволяющие злоумышленнику обойти нормальные механизмы проверки и получить высокие привилегии в сети. С помощью золотого билета злоумышленник может получить доступ к любому ресурсу в Active Directory, притворяясь валидным пользователем, без фактической аутентификации. Про Golden Ticket написано уже очень много статей, и аналитики знают, что такую атаку очень сложно обнаружить (большой труд в этом направлении проделали коллеги из R-Vision, рекомендуем к прочтению статью о Golden Ticket ). Не так давно Microsoft выпустила поэтапные обновления безопасности, которые меняют правила использования Golden Ticket. В этой статье мы постараемся разобраться, как обстоят дела с этой атакой сейчас и как Microsoft упростила ее детектирование своими обновлениями. Мы возьмем два инструмента (Mimikatz и Rubeus), сделаем с помощью них Golden Ticket с разными параметрами, а потом попробуем ими воспользоваться и посмотрим, какие сгенерируются события и как отследить их в SOC.

https://habr.com/ru/companies/jetinfosystems/articles/783518/

#kerberos #атака #microsoft #детектирование #mimikatz #rubeus #soc #обновление_безопасности #system #события_журнала

TIL: Since Windows 8.x, plain text passwords are no longer stored in memory. Unless Kerberos cannot reach the DC, in which case the password is stored in plain text. Otherwise it will also say "(null)". 💡

Except attacks to steal credentials are prevented with Credential Guard.

#Windows #mimikatz #sysadmin

Good day everyone! The Microsoft Threat Intelligence team has discovered activity from a group known as #FlaxTyphoon. They are a nation-state group from China that targeted organizations in Taiwan. While the group leverages tools that are commonly used, like #ChinaChopper, #MetaSploit, and #Mimikatz, they also rely on abusing #LOLBINS, or Living-off-the-land binaries and scripts (tools that exist and come with the native operating system). Some of their TTPs include using registry key modification for persistence, using #powershell, #certutil, or #bitsadmin to download tools, and accessing #LSASS process memory and Security Account Manager registry hive for credential access. This is a great article that not only provides high-level details but it provides a starting point for any organization to start threat hunting by using the technical details provided! Enjoy your weekend and #HappyHunting!

#CyberSecurity #ITSecurity #InfoSec #BlueTeam #ThreatIntel #ThreatHunting #ThreatDetection #readoftheday

Interested in exploring the world of #ActiveDirectory attacks from the eyes of the adversary? Join our comprehensive 2-day course!

Learn the nuances of network poisoning, authentication protocol attacks, and more. Get hands-on experience with #Bloodhound, #Rubeus, #Impacket, #Mimikatz, and more.

Register: https://www.eventbrite.com/e/advanced-threat-emulation-active-directory-tickets-565080931277

#CyberSecurity #RedTeam #InfoSec

Good one 🤣

If you get it, share it

#rustlang #rust #infosec #mimikatz

Why do I see LM hashes stored in Active Directory?

https://security.stackexchange.com/questions/268083/why-do-i-see-lm-hashes-stored-in-active-directory

#domaincontroller #activedirectory #kerberos #mimikatz #hash

Also be sure to turn on these monitoring policies in #DefenderForCloudApps so you can #CatchTheHacker before they get too deep, whether you switch to #Kerberos or not. #NetworkSegregation is also a great #LayeredDefense method to ensure if one system is compromised the attacker can't use #SMBtraversal to get to all your computers, globally. #EternalBlue source code is still being used to get to #DCs via #Trikbot evolutions, after #Phishing a user with #LocalAdmin privileges, to execute #mimikatz against #ActiveDirectory to steal all the objects. #YesThisHappened

Defeating Credential Guard #CredGuard #Windows #Defeat #MimiKatz #Isolated #LSASS https://research.ifcr.dk/pass-the-challenge-defeating-windows-defender-credential-guard-31a892eee22

📬 Antiviren-Software: Datenverlust durch Microsoft, Avast und AVG
#Hacking #AikidoWiper #AvastAntivirus #AVGAntivirus #Echtzeitschutz #MicrosoftDefender #Mimikatz #SentinelOneEDR https://tarnkappe.info/artikel/hacking/antiviren-software-datenverlust-durch-microsoft-avast-und-avg-260713.html

Hey #soc and #blueteam, if I have to hunt for #mimikatz executed from #cobaltstrike using #osquery, what are the tables I need to correlate? Though I figured out few events from security logs, I want to use OSQUERY logs for hunting. Any suggestions?

#threathunting #threatintel

Yesterday CISA and the FBI published a joint advisory on an Iranian #APT compromising FCEB (Federal Civilian Executive Branch) systems. The threat actors exploited #Log4Shell in an unpatched VMware Horizon server, installed #XMRig crypto mining software, moved laterally to the DC, compromised credentials with #Mimikatz, and then backdoored with #Ngrok on several hosts to maintain persistence.

My question is, why the hell they would go out of their way to install XMRig as part of this attack? Was it,

• for Lulz?
• to obfuscate their intent?
• financial motive?

From what I know, "for the Lulz" really isn't part of the APT playbook, and the only APT with financial motive that I'm ware of is North Korea, where cybercrime is literally part of their GNI (Gross National Income). My guess is to obfuscate, but I'd love to hear other people's thoughts on this.

#CTI #DFIR

Die Rechtschreibkorrektur will um jeden Preis Katzencontent in meinem Buch. Was hättet ihr denn gerne: Eine Minikatze oder eine Miezekatze?
#mimikatz

RT @[email protected]

Great #patchtuesday Microsoft, but did you not forgot something for #printnightmare? 🤔

Still SYSTEM from standard user...

(I may have missed something, but #mimikatz🥝mimispool library still loads... 🤷‍♂️)

🐦🔗: https://twitter.com/gentilkiwi/status/1425154484167188480