Sicherstellen, dass der Zugriff auf VM-Speicherschnappschüsse und virtuelle Festplatten streng kontrolliert und überwacht wird.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
VMkatz — Extract Windows credentials directly from VM memory snapshots and virtual disks
Extract Windows credentials directly from VM memory snapshots and virtual disks · Sprache: Rust · Topics: esxi, lsass, mimikatz, ntlm, offensive-security, post-exploitation · ⭐ 1,329 Stars
SecBoard-Einordnung
Dieses Tool ermöglicht es Angreifern, Anmeldeinformationen aus ruhenden oder angehaltenen VMs zu extrahieren, was eine Persistenz und Eskalation von Privilegien ohne direkte Interaktion mit dem laufenden System ermöglicht. Es umgeht möglicherweise herkömmliche Endpunkterkennung auf dem Gastsystem.
Realistisch schlimmster Fall: Ein Angreifer, der Zugriff auf VM-Speicherschnappschüsse oder virtuelle Festplatten erlangt, könnte Domänen- oder lokale Administrator-Anmeldeinformationen extrahieren. Dies könnte zu einer vollständigen Kompromittierung der virtuellen Infrastruktur und der darin enthaltenen Systeme führen, selbst wenn die VMs nicht aktiv ausgeführt werden.
Empfehlung: Sicherstellen, dass der Zugriff auf VM-Speicherschnappschüsse und virtuelle Festplatten streng kontrolliert und überwacht wird. Implementieren Sie Verschlüsselung für virtuelle Festplatten und Speicherschnappschüsse, wo immer möglich. Überprüfen Sie die Berechtigungen für die Verwaltung der Virtualisierungsinfrastruktur.
Betroffen
Organisationen, die Windows-Systeme in virtuellen Umgebungen betreiben und Speicherschnappschüsse oder virtuelle Festplatten erstellen.
Prüfen
3- ▸Überprüfen Sie die Zugriffskontrollen und Berechtigungen für alle VM-Speicherschnappschüsse und virtuellen Festplatten in Ihrer Umgebung.
- ▸Stellen Sie sicher, dass Speicherschnappschüsse und virtuelle Festplatten, die sensible Daten enthalten könnten, verschlüsselt sind, sowohl im Ruhezustand als auch bei der Übertragung.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie den Zugriff auf und die Erstellung von VM-Speicherschnappschüssen und virtuellen Festplatten auf ungewöhnliche Aktivitäten oder unbefugte Benutzer.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Versionen von Windows oder ESXi, die anfällig sind, werden nicht genannt.
- ▸Details zu den genauen Methoden der Extraktion über LSASS hinaus werden nicht genannt.
- ▸Es werden keine spezifischen Gegenmaßnahmen oder Erkennungsmethoden für VMkatz selbst genannt, außer der allgemeinen Kontrolle von Schnappschüssen und virtuellen Festplatten.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir VMware extern erreichbar?
- Haben wir Windows extern erreichbar?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Extract Windows credentials directly from VM memory snapshots and virtual disks ... lsass, mimikatz, ntlm“
„extract Windows credentials directly from VM memory snapshots ... lsass“
„Sprache: Rust (impliziert, dass das Tool möglicherweise nicht von herkömmlichen Signaturen erkannt wird, die auf ältere Tools abzielen)“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.