搜索

[12006] 2017-11-14_大名鼎鼎的Mimikatz密码读取工具，险被俄罗斯黑客窃取

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-11-14_大名鼎鼎的Mimikatz密码读取工具，险被俄罗斯黑客窃取 大 名 鼎 鼎 的 M i m i k a t z 密 码 读 取 工 具 ， 险 被 俄 罗 斯 黑 客 窃 取 l r 3 8 0 0 _   F r e e B u f   2 0 1 7 - 1 1 - 1 4 五 年 前 ， 当 本 杰 明 · 德 尔 皮 （ B e n j a m i n   D e l p y ） 走 进 莫 斯 科 总 统 酒 店 的 房 间 时 ， 发 现 一 名 身 穿 深 色 西 装 的 可 疑 男 子 在 使 用 他 的 笔 记 本 。 就 在 几 分 钟 前 ， 这 名   2 5   岁 的 法 国 程 序 员 匆 匆 跑 到 前 台 去 投 诉 房 间 的 网 络 状 况 。 为 了 一 场 在 附 近 主 办 的 安 全 会 议 ， 他 提 前 两 天 就 到 达 了 这 里 ， 结 果 发 现 酒 店 没 有   W i - F i ， 网 口 也 坏 了 。 酒 店 的 工 作 人 员 让 德 尔 皮 在 前 台 等 着 维 修 人 员 过 来 ， 但 他 想 回 房 间 里 等 着 所 以 拒 绝 了 。 当 德 尔 皮 回 来 时 ， 他 就 震 惊 地 看 到 那 个 陌 生 人 站 在 自 己 的 办 公 桌 旁 ， 身 旁 还 有 一 个 黑 色 手 提 箱 ， 在 听 到 声 响 之 后 ， 快 速 缩 回 了 键 盘 上 的 手 。 笔 记 本 上   W i n d o w s   的 登 录 界 面 还 没 有 登 进 去 ， 而 这 个 人 用 英 语 咕 哝 了 一 句 抱 歉 ， 说 他 刷 错 了 门 卡 ， 然 后 趁 德 尔 皮 还 没 反 应 过 来 之 前 就 逃 出 了 房 间 。 德 尔 皮 很 快 就 知 道 了 他 的 笔 记 本 为 什 么 会 被 人 非 法 搜 查 ， 因 为 他 在 笔 记 本 里 存 放 了 莫 斯 科 会 议 上 的 主 题 演 讲 资 料 ， 其 中 包 含 了 一 个 早 期 程 序   M i m i k a t z 。 M i m i k a t z   能 在 极 短 的 时 间 内 从 计 算 机 内 存 中 抓 取   W i n d o w s   用 户 的 密 码 ， 从 而 获 得 该 计 算 机 的 访 问 权 或 者 受 害 人 在 网 络 上 的 其 他 访 问 权 。 和 全 世 界 的 黑 客 一 样 ， 俄 罗 斯 人 也 想 拿 到 德 尔 皮 的 源 代 码 。 和 全 世 界 的 黑 客 一 样 ， 俄 罗 斯 人 也 想 拿 到 德 尔 皮 的 源 代 码 。 在 此 后 的 几 年 中 ， 德 尔 皮 向 公 众 公 布 了 该 代 码 ， M i m i k a t z   已 经 成 为 一 种 无 处 不 在 的 黑 客 渗 透 工 具 ， 入 侵 者 们 一 旦 打 开 缺 口 ， 就 能 迅 速 从 一 台 联 网 设 备 跳 到 下 一 台 。 最 近 ， M i m i k a t z   重 新 回 到 了 人 们 的 视 线 中 ， 它 成 为 了   N o t P e t y a   和 B a d R a b b i t 的 组 成 部 分 ， 而 这 两 个 勒 索 蠕 虫 已 经 击 垮 了 乌 克 兰 ， 并 且 蔓 延 到 整 个 欧 洲 、 俄 罗 斯 和 美 国 。   仅   N o t P e t y a   就 导 致 了 马 士 基 、 默 克 和 联 邦 快 递 等 公 司 数 千 台 电 脑 的 瘫 痪 ， 已 经 造 成   1 0   亿 多 美 元 的 损 失 。 那 些 引 发 网 络 震 动 的 涟 漪 ， 至 少 在 某 种 程 度 上 是 由 德 尔 皮 随 意 编 出 来 的 程 序 所 引 发 的 。 德 尔 皮 表 示 ， 一 位 拒 绝 透 露 姓 名 的 服 务 于 法 国 政 府 机 构 的   I T   经 理 ， 最 初 将   M i m i k a t z   作 副 项 目 来 开 发 ， 期 望 更 加 了 解   W i n d o w s   的 安 全 性 能 和   C   语 言 ， 同 时 意 在 向 微 软 证 明   W i n d o w s   密 码 中 存 在 的 安 全 漏 洞 。 他 的 概 念 验 证 达 到 了 预 期 效 果 ， 在 最 新 版 本 的   W i n d o w s 中 ， 微 软 更 改 了 其 认 证 系 统 ， 使 系 统 更 不 易 被 类 似   M i m i k a t z   的 工 具 攻 破 。 但 此 时 ， 德 尔 皮 的 工 具 早 已 进 入 广 大 黑 客 的 武 器 库 中 。 德 尔 皮 说 ： “ 虽 然   M i m i k a t z   不 是 为 攻 击 者 设 计 的 ， 但 是 它 却 帮 助 了 他 们 ， 任 何 一 个 事 物 ， 有 利 就 有 弊 。 ” 安 全 公 司   R e n d i t i o n   I n f o s e c   创 始 人 兼 渗 透 测 试 员 杰 克 · 威 廉 姆 斯 （ J a k e   W i l l i a m s ） 表 示 ， 即 便 在 今 天 ， 尽 管 微 软 尝 试 修 复 系 统 漏 洞 ， M i m i k a t z   仍 然 是 一 个 强 大 的 黑 客 工 具 。
窃 取 方 法 窃 取 方 法 M i m i k a t z   最 初 因 其 利 用 了   W i n d o w s   的   W D i g e s t   功 能 而 成 为 了 核 心 的 黑 客 资 产 。 W D i g e s t   旨 在 使 公 司 和 政 府 的 W i n d o w s   用 户 更 方 便 地 向 内 网 或 网 络 上 的 应 用 程 序 证 明 身 份 ， 它 会 将 用 户 的 身 份 验 证 信 息 保 存 在 内 存 中 ， 并 自 动 重 用 它 们 ， 因 此 用 户 只 需 输 入 一 次 用 户 名 和 密 码 即 可 多 次 访 问 。 尽 管   W i n d o w s   会 将 用 户 密 码 的 副 本 加 密 ， 但 系 统 也 同 样 保 留 了 密 钥 的 副 本 以 便 解 密 。 德 尔 皮 说 ： “ 这 就 像 把 加 密 邮 件 和 密 钥 同 时 放 在 邮 箱 里 一 样 。 ”   德 尔 皮 表 示 他 已 经 向 微 软 提 出 了 潜 在 的 安 全 问 题 ， 但 该 公 司 对 他 的 提 醒 置 之 不 理 ， 认 为 不 是 什 么 大 问 题 。 毕 竟 ， 黑 客 想 在 内 存 中 找 到 密 码 ， 就 先 要 深 度 访 问 受 害 人 的 机 器 ， 这 显 然 是 不 太 容 易 做 到 的 。 微 软 曾 在 《 连 线 》 杂 志 的 采 访 中 回 应 了 关 于   M i m i k a t z   的 问 题 ， “ 只 有 在 系 统 已 经 被 破 坏 的 前 提 下 ， 该 工 具 才 能 入 侵 ， 为 了 安 全 起 见 ， 我 们 建 议 用 户 遵 循 安 全 的 操 作 方 法 ， 同 时 保 持 更 新 。 ” 但 德 尔 皮 在 实 践 中 发 现 ， W i n d o w s   认 证 系 统 仍 是 一 块 强 有 力 的 跳 板 ， 黑 客 们 一 直 借 此 扩 大 感 染 。 如 果 用 管 理 员 权 限 运 行 一 款 恶 意 软 件 ， 那 么 它 可 以 将 加 密 的 密 码 与 解 密 的 密 钥 一 起 从 内 存 中 窃 取 出 来 ， 然 后 用 它 们 来 访 问 网 络 上 的 另 一 台 计 算 机 。 如 果 另 一 名 用 户 登 录 到 该 计 算 机 上 ， 攻 击 者 就 可 以 在 第 二 台 计 算 机 上 运 行 相 同 的 程 序 来 窃 取 他 们 的 密 码 ， 如 此 往 复 。 因 此 ， 德 尔 皮 编 写 出 了   M i m i k a t z   来 证 明 微 软 存 在 的 问 题 ， “ m i m i ” 在 法 语 中 的 意 思 是 “ 可 爱 ” ， 因 此 这 个 程 序 的 全 称 是 指 “ 可 爱 的 猫 咪 ” 。 他 在   2 0 1 1   年   5   月 公 布 了   M i m i k a t z ， 但 没 有 开 放 源 代 码 。 德 尔 皮 说 他 当 时 的 态 度 是 这 样 的 ， “ 你 们 既 然 不 想 修 复 系 统 ， 那 我 就 来 向 世 人 证 明 你 们 的 问 题 。 事 实 证 明 微 软 需 要 好 几 年 的 时 间 才 能 修 复 系 统 ， 而 期 间 黑 客 们 也 没 闲 着 。 ”   不 久 ， 德 尔 皮 在 黑 客 论 坛 中 看 到 中 国 用 户 在 讨 论   M i m i k a t z ， 并 试 图 对 其 进 行 逆 向 工 程 。 然 后 在   2 0 1 1   的 年 中 ， 他 才 发 现   M i m i k a t z   被 用 于 入 侵 外 国 政 府 网 络 。 他 在 回 忆 时 说 道 ： “ 这 种 情 况 让 我 感 觉 非 常 非 常 的 难 受 。 ” 2 0 1 1   年   9   月 ， M i m i k a t z   被 用 于 入 侵   D i g i N o t a r ， 其 发 布 的 认 证 证 书 是 用 于 确 保 网 站 使 用 者 的 身 份 。 据   F o x - I T   的 安 全 研 究 人 员 表 示 ， 这 种 入 侵 让 身 份 不 明 的 黑 客 发 出 了 伪 造 的 证 书 ， 然 后 监 视 了 数 以 千 计 的 伊 朗 人 。 结 果 ， D i g i N o t a r   被 网 络 浏 览 器 列 入 黑 名 单 ， 最 终 破 产 。 第 二 个 穿 西 装 的 俄 罗 斯 男 人 第 二 个 穿 西 装 的 俄 罗 斯 男 人 在   2 0 1 2   年 初 ， 德 尔 皮 应 邀 在 莫 斯 科 举 办 的   P o s i t i v e   H a c k   D a y s   大 会 上 进 行 了 一 场 关 于   W i n d o w s   安 全 问 题 的 演 讲 。 他 仍 然 认 为 多 数 国 家 支 持 的 黑 客 已 经 掌 握 了   M i m i k a t z   的 代 码 。 但 即 便 是 在 酒 店 房 间 的 那 次 接 触 之 后 ， 俄 罗 斯 人 还 是 不 死 心 。 当 他 在 一 座 苏 联 老 厂 房 里 和 一 群 黑 客 交 谈 之 后 ， 一 个 穿 着 深 色 西 装 的 男 人 走 近 他 ， 要 求 他 把 会 议 幻 灯 片 和 M i m i k a t z   拷 在   U   盘 上 ， 德 尔 皮 照 做 了 。 然 后 ， 甚 至 在 他 离 开 俄 罗 斯 之 前 ， 他 还 在   G i t h u b   上 发 布 了 的 开 源 代 码 ， 既 出 于 自 身 的 安 全 考 虑 ， 也 希 望 防 御 者 能 够 借 此 抵 御 黑 客 的 攻 击 。 2 0 1 3   年 ， 微 软 最 终 在   W i n d o w s   8 . 1   中 增 加 了 禁 用   W D i g e s t   的 方 法 ， 以 此 防 御 了   M i m i k a t z   。 在   W i n d o w s   1 0   中 ， 微 软 默 认 禁 用 该 项 功 能 。 但 是 ， R e n d i t i o n   的 威 廉 姆 斯 指 出 ， 即 使 在 今 天 ， M i m i k a t z   还 是 能 影 响 到 很 多 他 碰 到 的   W i n d o w s 机 器 ， 要 么 是 因 为 这 些 机 器 没 有 升 级 系 统 ， 要 么 是 因 为 他 有 权 限 启 用   W D i g e s t 。 近 年 来 ， M i m i k a t z   要 么 被 俄 罗 斯 黑 客 用 来 攻 击 德 国 议 会 ， 要 么 是 被   C a r b a n a k   网 络 团 伙 用 来 犯 下 了 “ 十 亿 美 元 大 劫 案 ” 。 但   N o t P e t y a   和   B a d R a b b i t   勒 索 蠕 虫 使 用   M i m i k a t z   的 方 式 却 比 较 迂 回 ： 他 们 将 攻 击 工 具 放 在 可 自 我 传 输 的 蠕 虫 中 ， 同 时 将 其 与   E t e r n a l B l u e   和   E t e r n a l R o m a n c e   黑 客 工 具 一 起 泄 露 给 了   S h a d o w   B r o k e r s 。 这 些 工 具 允 许 恶 意 软 件 通 过 微 软 的 服 务 器 消 息 块 协 议 传 输 到 所 有 未 针 对 攻 击 打 补 丁 的 接 入 系 统 。 他 们 与   M i m i k a t z   一 起 打 出 的 组 合 拳 ， 最 大 程 度 地 扩 散 了 这 些 自 动 感 染 。 德 尔 皮 说 ： “ 当 你 把 这 两 种 技 术 混 合 起 来 时 ， 它 是 非 常 强 大 的 。 ” 尽 管   M i m i k a t z   造 成 了 这 些 攻 击 ， 但 德 尔 皮 并 未 因 此 疏 远 它 。 相 反 ， 他 继 续 打 磨 着 自 己 的 作 品 ， 公 开 地 讨 论 它 ， 甚 至 在 过 去 几 年 中 为 它 增 加 了 更 多 的 功 能 。 如 今 ， M i m i k a t z   已 经 对   W i n d o w s   身 份 验 证 功 能 造 成 了 重 击 ， 从 窃 取 哈 希 密 码 传 递 身 份 认 证 信 息 ， 到 在 微 软 的   K e r b e r o s   身 份 验 证 系 统 生 成 可 替 代 身 份 令 牌 的 虚 假 票 据 （ T i c k e t ） ， 甚 至 是 在   C h r o m e 和   E d g e   浏 览 器 中 窃 取 自 动 填 充 的 密 码 。 不 过 德 尔 皮 说 ， 在 利 用   W i n d o w s   的 安 全 问 题 之 前 ， 他 会 提 前 几 个 月 向 微 软 发 出 警 告 。
令 人 苦 涩 的 密 码 试 炼 工 具 令 人 苦 涩 的 密 码 试 炼 工 具 M i m i k a t z   中 的 功 能 不 是 为 了 便 宜 犯 罪 分 子 和 间 谍 ， 而 是 为 了 证 明   W i n d o w s   的 设 计 方 式 或 公 司 及 政 府 的 使 用 方 式 都 存 在 着 安 全 问 题 和 隐 患 。 德 尔 皮 说 ， 毕 竟 ， 如 果 系 统 管 理 员 限 制 用 户 的 权 限 ， M i m i k a t z   就 无 法 获 得 管 理 员 访 问 权 限 ， 也 无 法 跳 到 其 他 计 算 机 同 时 窃 取 更 多 的 认 证 信 息 。 加 州 大 学 伯 克 利 分 校 安 全 研 究 员 尼 古 拉 斯 · 韦 弗 （ N i c h o l a s   W e a v e r ） 表 示 ， 尽 管 如 此 ， M i m i k a t z   仍 然 非 常 强 大 ， 德 尔 皮 也 不 应 该 为 此 受 到 指 责 。 他 说 ： “ 要 是 说 起 来 ， 如 果 没 有 出 现 M i m i k a t z ， 还 是 会 有 其 他 的 黑 客 工 具 。 ” 到 最 后 ， 连 微 软 都 开 始 试 着 欣 赏 德 尔 皮 的 成 果 ， 邀 请 他 在 公 司 的 蓝 帽 （ B l u e   H a t ） 安 全 会 议 上 发 表 了 两 次 讲 话 ， 今 年 更 是 邀 请 他 加 入 新 版 研 究 报 告 的 评 审 委 员 会 。 至 于 德 尔 皮 ， 他 对 自 己 的 工 作 表 示 毫 不 后 悔 。 比 起 把 微 软 的 漏 洞 留 给 间 谍 们 独 自 享 用 ， 被 俄 罗 斯 间 谍 追 踪 对 他 而 言 并 不 算 什 么 。 他 说 ： “ 我 设 计 这 个 工 具 的 目 的 是 为 了 向 微 软 证 明 这 不 是 一 个 理 论 问 题 ， 这 是 一 个 真 正 存 在 的 漏 洞 。 要 是 没 有 真 实 的 数 据 ， 没 有 可 怕 的 数 据 ， 他 们 永 远 不 会 做 任 何 改 进 的 事 情 。 ” 参 考 链 接 参 考 链 接 “ 德 尔 皮 在 黑 客 论 坛 中 看 到 中 国 用 户 在 讨 论   M i m i k a t z ， 并 试 图 对 其 进 行 逆 向 工 程 ”   文 中 提 到 的 是   “ 看 雪 论 坛 ”   中 的 帖 子 “ 逆 向 s e k u r l s a . d l l _ 实 现 读 内 存 获 得 开 机 密 码 ”   h t t p s : / / b b s . p e d i y . c o m / t h r e a d - 1 5 6 6 4 3 . h t m “ 可 怕 的 神 器 ： 抓 取 w i n d o w s 明 文 密 钥 — m i m i k a t z ” h t t p s : / / b b s . p e d i y . c o m / t h r e a d - 1 4 9 2 3 6 . h t m 德 尔 皮 （ B e n j a m i n   D e l p y ） 的 博 客   h t t p : / / b l o g . g e n t i l k i w i . c o m / M i m i k a t z 项 目 地 址   h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z * 本 文 投 稿 作 者 ： l r 3 8 0 0 _ ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理