La herramienta Mimikatz es detectado por casi todos los sistemas Windows aunque mas adelante veremos herramientas de evasion para esto, pero si lo queremos hacer de otra forma con una herramienta de linux podremos hacerlo de la siguiente forma:
Primero tendremos que extraer desde Windows la rama donde se encuentra la SAM creando un archivo, el cual luego nos pasaremos al kali.
cd .\Desktop
reg save hklm\sam sam.save
Info:
La operación se completó correctamente.
Esto nos dara un archivo llamado sam.save el cual nos tendremos que pasar al kali.
Pero a parte tambien volcaremos el system:
reg save hklm\system system.save
Ahora nos copiaremos los 2 ficheros y los pasamos a nuestro kali.
Dentro de kali vamos a volcar la SAM desde el fichero que generamos sam.save de la siguiente forma:
impacket-secretsdump -sam sam.save -system system.save LOCAL
Info:
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies
[*] Target system bootKey: 0xc8125866b327df176940c9f2d6a48f5f
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrador:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Invitado:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
WDAGUtilityAccount:504:aad3b435b51404eeaad3b435b51404ee:5ed544e71abe56b376b7993b21946520:::
santiago:1001:aad3b435b51404eeaad3b435b51404ee:7ce21f17c0aee7fb9ceba532d0546ad6:::
[*] Cleaning up...
Y vemos que nos ha volcado todos los hashes de la SAM como vimos anteriormente en Windows de la misma forma y sin que salte el Antivirus.
Volcado de Isass
Ahora si queremos volcar la informacion de la isass pero para verlo en linux lo que podremos hacer es utilizar una herramienta que nos proporciona Microsoft para volcar esa informacion en un fichero como hemos estado haciendo anteriormente con el SAM.
Antes de realizar todo esto, lo que vamos hacer es Crear un archivo de volcado de lsass, si nos vamos al Administrador de tareas -> Detalles -> buscamos el proceso lsass.exe -> click derecho y pinchar en Crear archivo de volcado.
Despues nos aparecera esto:
Y le daremos Abrir ubicación del archivo, por lo que veremos lo siguiente:
Y esto no salta Windows Defender ni ningun antivirus por alguna razon.
Ahora lo que vamos hacer es pasarnos este archivo a nuestra maquina kali.
Pero si nos volvemos a Windows lo podremos hacer en Windows con Mimikatz:
Y vemos que nos esta volcando la informacion, pero del fichero con mimikatz.
Ahora de forma remota lo que vamos hacer es volcar la informacion del lsass.DMP desde el kali hasta el Windows, es importante saber que tenemos que tener un usuario de dominio con privilegios de administrador locales para poder realizar esto.
Pero cuando hagamos esta tecnica, nos va a pedir la verificacion del UAC por lo que tendremos que realizar un UAC Bypass para que podamos obtener la informacion.
Si lo intentamos hacer con un usuario local con privilegios de administrador con este saltaria el UAC y nos nos dumpeara nada, pero con un usuario de dominio con privilegios de administrador local, por algun motivo no salta y si nos lo puede dumpear.
