התקנה של Mimikatz

בלי כתוביותעם כתוביות

מילון מושגים:

אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.

וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.

דיבאג - תהליך של איתור, הבנה ותיקון תקלות בקוד, לעיתים בעזרת כלי שמאפשר לעצור ולעקוב אחר ריצת התוכנית.

Active Directory - שירות מדריך של מיקרוסופט לניהול מרכזי של משתמשים, מחשבים והרשאות ברשת ארגונית מבוססת דומיין.

קוד פתוח - תוכנה שקוד המקור שלה זמין לציבור לצפייה, לשימוש ולשינוי, לרוב לפי רישיון מתאים.

ביט - יחידת המידע הקטנה ביותר במחשב, שערכה 0 או 1. שמונה ביטים מרכיבים בייט.

באג - תקלה או שגיאה בקוד שגורמת לתוכנה להתנהג בניגוד למצופה.

לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.

התקנה של Mimikatz

בשיעור זה אנו מתחילים את משימת שליפת הגיבובים מהמערכת בעזרת הכלי המפורסם Mimikatz. אנו מורידים אותו מהגיטהאב של יוצרו, מתמודדים עם חסימות הדפדפן והאנטי וירוס, לומדים על גרסת הפאוורשל שלו שרצה מהזיכרון, ומבינים לעומק מדוע הכלי דורש הרשאות מנהל ואת זכות הדיבאג שמאפשרת לו לחטט בזיכרון של תהליכים אחרים.

נושאי הסיכום המוצגים בשיעור:

1. המשימה הנוכחית: הגענו למשימה מספר ארבע, שליפת גיבובים, להוציא את הגיבובים מתוך הווינדוס. נעשה זאת עם Mimikatz מתוך Active Directory, מתוך בקר הדומיין, נוציא את כל הסיסמאות ונפרוץ אותן.

2. מקור הכלי: כדי להבין איך הכלי עובד נכנסים לגיטהאב של יוצרו. זה קוד פתוח, ולכן הרבה האקרים מורידים אותו ומשנים אותו כך שהאנטי וירוס לא יזהה אותו, למשל פותחים את הפרויקט בסביבת הפיתוח ומשנים את כל המילים החשודות כמו שמו של הכלי עצמו, כי כל האנטי וירוסים תופסים את השם הזה.

3. מה הוא יודע לעשות: בתיאור שלו כתוב שהוא יודע להוציא סיסמאות, ותעודות קרברוס שמשמשות לאימות בתוך Active Directory בתוך הארגון, ואת כל זה הוא יודע להוציא מתוך זיכרון של ווינדוס.

4. הורדת הריליס המוכן: מורידים את הריליס האחרון ששוחרר כקובץ הפעלה, כי לא רוצים לקמפל בעצמנו את קוד המקור לשפת מכונה. הריליס זמין בפורמט של שבע זיפ ובקובץ זיפ רגיל, ולוקחים את שבע הזיפ כי הוא קטן יותר, ומתקינים אותו בעזרת קובץ ההתקנה המתאים.

5. התמודדות עם האזהרות: במהלך ההורדה מופיעה התרעה שהכלי מסוכן מאוד והדפדפן חוסם אותו. עוברים לכרטיסיית ההורדות ולוחצים על כפתור שמירת הקובץ המסוכן, אבל לפני כן חייבים לנתק את האנטי וירוס, כי הוא ימחק את הקובץ. נכנסים להגנות הווירוסים, סוגרים את ההגנה בזמן אמת ואת ההגנה בענן, ורק אז שומרים את הקובץ למרות האזהרות.

6. חילוץ הקובץ: פותחים את הקובץ הדחוס בעזרת שבע הזיפ ומחלצים לתת תיקייה כדי שלא יהיה בלאגן בתיקיית ההורדות הראשית. בפנים יש את הכלי בגרסה 64 ביט.

7. גרסת פאוורשל: הכלי קיים לא רק כקובץ הפעלה אלא גם בפאוורשל, כלומר אפשר להפעיל את כל הכלי אצל הקורבן בלי לשים לו קובץ הפעלה במחשב, והכל עובד מתוך זיכרון של פאוורשל, עם פקודות כמו הפעלת הכלי בתוך פאוורשל. כרגע לא רוצים להסתבך עם פאוורשל ומשתמשים בקובץ ההפעלה, שבגדול זה די אותו דבר. גרסת הפאוורשל רצה באופן מלא מתוך זיכרון הראם בלי לגעת בדיסק, וכך לאנטי וירוס קשה יותר לתפוס אותו, כי אין לו קובץ בכונן שהוא צריך לסרוק, פחות חשיפה.

8. דרישת הרשאות מנהל: דבר חשוב מאוד, הכלי דורש הרשאות של מנהל. כדי להדגים מה ההבדל משתמשים ב-Process Explorer, שהוא כמו מנהל משימות משוכלל, כלי שמייקרוסופט קנו מחברת סיסינטרנלס לפני כעשר שנים. אפשר להריץ את קובץ ההפעלה שלו ישירות מהאתר של מייקרוסופט, ומכיוון שהוא חתום דיגיטלית לא מתקבלת שום התראה.

9. הרשאות תהליך רגיל: כשמריצים את הכלי כתהליך רגיל, במאפייני התהליך שרץ בזיכרון אפשר לראות בחלון האבטחה את כל הזכויות שיש לו על מערכת ההפעלה. זה דומה להרשאות על קבצים, רק שאלה הרשאות פריבילגיות שיש על ווינדוס עצמו, לדוגמה האם מותר לו לכבות את המחשב, שכרגע מנוטרל אבל תוכנה יכולה לבקש את הזכות הזאת ואז לכבות את הווינדוס.

10. זכות הדיבאג: בתהליך רגיל חסרה האפשרות של דיבאג, שפירושה להעריץ תוכנות אחרות שורה אחר שורה ולראות מה קורה להן בזיכרון. הכלי צריך את זה כי הוא כאילו מחפש באג בתוך מערכת האבטחה של ווינדוס ובפועל מוציא משם את הסיסמאות. הזכות להיכנס לזיכרון של מישהו אחר היא זכות גדולה, ולתוכנה רגילה לא נותנים אותה, נותנים אותה רק לתוכנה שרצה עם הרשאות של מנהל.

11. הרצה כמנהל והגבלת הצפייה: סוגרים את הכלי ומפעילים אותו שוב בהרצה כמנהל, ששואלת רשות להשתמש בזכויות של מנהל, ואם היה מדובר במשתמש רגיל היא הייתה מבקשת גם סיסמת מנהל. כשמנסים לראות את מאפייני התהליך המוגן מתוך מנהל המשימות הרגיל מתגלה שאין שום מידע אבטחה, כי מנהל המשימות עצמו רץ כתוכנה רגילה ואינו יכול לראות ולגעת בתוכנות שרצות עם הרשאות מנהל.

12. הרצה מסונכרנת: סוגרים את מנהל המשימות, מריצים אותו בעצמו בהרצה כמנהל, ורואים שהוא מציג בסוגריים שהוא עם הרשאות של מנהל. עכשיו מריצים את הכלי גם עם הרשאות של מנהל, ובמאפייני התהליך שלו מתגלות הרבה פריבילגיות שלא היו לפני כן, ובהן הזכות החשובה של דיבאג, היכולת לעבור פקודה פקודה בתוכנה אחרת, לעצור אחרי כל פקודה ולחטט בזיכרון שלה, כאילו מחפשים באגים אבל בפועל מוציאים סיסמאות מתוך הזיכרון של ווינדוס. הפריבילגיה הזאת מופיעה כמנוטרלת אבל היא קיימת, ובלי הרצה כמנהל היא לא הייתה קיימת בכלל.

13. הפעלת הפריבילגיה בתוך הכלי: בתוך הכלי כותבים את הפקודה שמבקשת להפעיל את זכות הדיבאג, והוא מציין שהזכות התקבלה. בלי הרצה כמנהל היינו מקבלים שגיאה. במנהל המשימות אפשר לראות שבמאפייני התהליך כעת קיימת פריבילגיית הדיבאג, הפקודה עבדה וקיבלנו את הזכות לחטט בתוך הזיכרון של תוכנות אחרות.

14. יצירת קובץ לוג: בפקודה הבאה מבקשים ליצור קובץ רישום לכל הפקודות והפלטים, כי אחרת הכל יהיה רק על המסך ורוצים אפשרות לחפש בתוך קובץ את ההיסטוריה של כל הפקודות. אחרי הרצת הפקודה נוצר קובץ ריק בתיקייה הנוכחית, ומכאן והלאה כל פקודה נרשמת לתוך קובץ הרישום. זה נוח מאוד כי יהיו לנו הרבה גיבובים והרבה מידע על המסך.

15. הצעד הבא: בהרצאה הבאה מתחילים להוציא סיסמאות, גם מתוך הכונן וגם מתוך הזיכרון, ויש לנו עוד הרבה נושאים מעניינים לפנינו.

בשיעור הבא נעסוק בנושא הוצאת סיסמאות מתוך דיסק SAM - Mimikatz.

בסוף השיעור התקנו את הכלי לשליפת סיסמאות, הבנו מדוע הוא דורש הרשאות מנהל ואת משמעות זכות הדיבאג שלו, הפעלנו את הפריבילגיה בתוכו והכנו קובץ רישום לתיעוד כל הפלטים.

פרקי ההרצאה: התקנה של Mimikatz

תמלול ההרצאה: התקנה של Mimikatz

הטקסט המלא של הדקות הראשונות בהרצאה «התקנה של Mimikatz» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו אנחנו נדבר על מימיקאץ כי הגענו למשימה מספר 4, דאמפינג האשז להוציא את ההאשים מתוך הווינדוס ונעשה את זה עם מימיקאץ מתוך Active Directory מתוך דומיין קונטרולר, נוציא את כל הסיסמאות ונפרוץ אותם בואו נבין איך עובד מימיקאץ, נלך לווינדוס רגיל, נפתח גוגל כרום ונרשום מימיקאץ גיטהאפ מי שכתב אותו קוראים לו בנג'מין דלפי
00:30
ואנחנו הולכים לגיטאפ שלו, זה קוד פתוח, לכן הרבה האקרים מורידים אותו ומשנים אותו כך שהאנטיווירוס לא יזהה אותו יש פה את כל הקבצים של הפרויקט, לדוגמה קובץ SLN שמאפשר לפתוח את הפרויקט הזה בוויז'ואל סטודיו ולהעיף את כל המילים החשודות כמו מילת מימי קץ עצמה, כי כל האנטיווירוס תופס לנו את המימי קץ הזה
00:52
כתוב כאן בתיאור שלו שהוא יודע להוציא סיסמאות, קיטים של קרברוס שמשתמשים בהם לעימות בתוך Active Directory בתוך הארגון ואת כל זה הוא יודע להוציא מתוך זיכרון של Windows בואו נוריד אותו ברליס בגרסה האחרונה ששוחררה לקובץ אקזה כי אני לא רוצה לבד להפוך את הקוד מקור לשפת מכונה אז אני מוריד רליס מוכן יש אותו
01:19
ב-7-zip ובקובץ זיפ רגיל בואו נוריד את ה-7-zip כי הוא יותר קטן רק צריך להתקין פה 7-zip אנחנו גם נצטרך אותו להמשך 7-zip download ואני מחפש קובץ msi להתקנה שיתקין לי את זה מסודר בתוך הווינדוס ואני עושה next next next מתקין את ה-7-zip זהו סיימנו עם ה-7-zip הזה התקנה הצליחה ויש לנו פה התרעה שמימיקאץ מאוד מאוד מסוכן והוא חוסם אותו אני עושה
01:46
show all או לוחץ ctrl j מגיע לטאב של downloads של כל ההורדות ויש פה כפתור keep dangerous file לשמור את הקובץ המסוכן הזה לפני שאנחנו לוחצים עליו צריך לנתק את האנטיווירוס כי האנטיווירוס ימחוק לנו אותו ולא בא לי להוריד אותו עוד פעם אז אני הולך ל-Virus and Threat Protection Manage Settings וסוגר את ה-Real Time Protection
02:10
סוגר את ה-Cloud, סוגר את הכל סגרנו את האנטיווירוס ואפשר ללחוץ Keep Dangerous File Keep Anyway, הוא נותן לי עוד התראה ובשעה טובה ומוצלחת הצלחנו להוריד את ה-Mimicats בואו נחלץ אותו, נפתח את ה-Zip show more options 7-zip אקסטרקט 2 ושיהיה בתת תיקייה שלא יעשה לי בלאגן בדאונלורדס הראשי נהדר אני נכנס פנימה זה המימיקאטס יש
02:36
גרסה 64 ביט דרך אגב יש את המימיקאטס הזה לא רק בקובץ אקזה כמו שאנחנו רואים עכשיו אלא גם בפאוורשל זאת אומרת שאפשר להפעיל את כל המימיקאטס הזה אצל הקורבן בלי לשים לו קובץ אקזה במחשב הכל יעבוד מתוך זיכרון של פאוורשל ואז יש לנו פקודות כמו Invoke Mimicats בתוך PowerShell.
02:58
כרגע אני לא רוצה להסתבך עם PowerShell, אז אני אשתמש בקובץ אקזה. בגדול זה די אותו דבר. תדעו שקיימת גם גרסת PowerShell שלו, שרצה באופן מלא מתוך זיכרון רם, בלי לגעת בדיסק.
03:11
וכך לאנטיווירוס יותר קשה לתפוס אותו, כי אין לו קובץ ב-hard disk שהוא צריך לסרוק אותו, פחות חשיפה. דבר הבא שמאוד מאוד חשוב, שמימיקאץ דורש הרשאות של אדמיניסטרטור.
03:22
בואו אני אראה לכם מה ההבדל, למה האדמיניסטרטור הזה כל כך חשוב. אם אנחנו נלך לגוגל ונרשום Process Explorer, שזה כמו Task Manager משוכלל, זה כלי שמייקרוסופט קנו מ-Sysinternals, הייתה פעם חברת סיסינטרנלס ולפני איזה עשר שנים מייקרוסופט קנו אותם.
03:40
האמת במקום זיפ יש לנו פה להריץ קובץ אקזה ישירות מהאתר של מייקרוסופט, בואו נלחץ על זה, הנה הוא מוריד לי את האקזה ישירות, בגלל שהוא חתום דיגיטלית אני לא מקבל שום התראה וככה הוא נראה.
03:52
נשים אותו בצד שנייה. אני רוצה להראות לכם מה ההבדל בין להריץ תהליך עם הרשאות של אדמיניסטרטור לבין להריץ תהליך רגיל. תסתכלו, כשאנחנו מריצים תהליך רגיל פה בפרוצס אקספלואור, אני כותב מימי כץ, אני מתחיל לכתוב מילת מימי כץ,
04:08
הנה המימי כץ שלי, אני לוחץ כפתור ימני, פרופרטיז, מאפיינים על התהליך הזה שרץ בזיכרון ואני רואה פה ב-Security את כל הזכויות שיש לו על מערכת ההפעלה.
04:20
זה דומה להרשאות על קבצים, רק שזה הרשאות פריבילגיות שיש על Windows עצמו. לדוגמה, האם מותר לו לכבות את המחשב? כרגע זה Disabled, אבל תוכנה יכולה לבקש את הזכות הזאת ואז היא תוכל לכבות את ה-Windows.
04:36
אבל חסרה פה אופציה, אופציה של דיבאג. דיבאג זה להעריץ תוכנות אחרות שורה אחרי שורה ולראות מה קורה להן בזיכרון דיבאג זה לחפש באגים בתוכנות אחרות ומימיקאט צריך את זה כי הוא כאילו מחפש באג בתוך מערכת האבטחה של ווינדוס ותכלס מוציא משם הסיסמאות הזכות הזאת להיכנס למישהו אחר לזיכרון היא זכות גדולה ולתוכנה רגילה לא נותנים אותה נותנים את זה רק לתוכנה שרצה עם הרשאות של אדמיניסטרטור
05:07
אז אני סוגר את המימיקאט ואני בא להפעיל אותו שוב כפתור רימני run as administrator הוא שואל אותי