B) Unter Windows mit diesem Go-Befehl erstellen und installieren

• erfordert Golang

C) Die Windows-Binärdateien auf jeder von Golang unterstützten Plattform mit installiertem PowerShell cross-kompilieren

• erfordert Golang und PowerShell

Verwendung

1. Stellen Sie sicher, dass die Windows-Firewall „Datei- und Druckerfreigabe“ zulässt, da Hash Muncher den integrierten SMB-Dienst benötigt, um die anfängliche Anforderung zu senden und Antwortpakete an das Ziel zu senden.

2. Führen Sie Hash Muncher in einer Eingabeaufforderung mit erhöhten Rechten aus

3. Warten Sie nun darauf, dass sich jemand an Ihrer Maschine authentifiziert, oder platzieren Sie eine URL-Verknüpfung in einer beliebten gemeinsamen Dateifreigabe wie unten gezeigt.

Ersetzen Sie die IP-Adresse durch Ihren Hach-Muncher-Rechner und speichern Sie die Datei als „whatever.url“ auf einer (unternehmensweiten) Dateifreigabe – und beobachten Sie, wie die Hashes hereinstromen.

Andere Methoden werden in den Red Team Notes – Forced Authentication erwähnt, und Sie können vermutlich auch Erfolg haben, indem Sie allen ein Word-Dokument mailen, aber das ist überhaupt nicht heimlich.

Erkennung

• Keine, die ich gesehen habe, aber bitte hinterlassen Sie Feedback

Gegenmaßnahmen

• Keine für den ETW-Teil; das ist laut Microsoft Teil des Windows-Designs.
• Verwenden Sie STARKE Passwörter! Das Knacken von NetNTLMv2 ist überhaupt nicht schnell, aber mit schwachen Passwörtern ist es durchaus möglich.
• Deaktivieren Sie NTLM vollständig! Es wird wahrscheinlich nicht schmerzfrei sein – aber siehe Auf Wiedersehen, NTLM – Es ist Zeit, NTLM zu deaktivieren

Verlauf

Ich habe mich immer wieder mit ETW beschäftigt, aber als ich die sehr coole Forschung von Nettitude Labs sah, wusste ich, dass ich daraus ein einfach zu bedienendes Tool in meiner Lieblingssprache Golang machen musste! Nettitude Labs hat einen funktionierenden POC, der in C# geschrieben ist und unter dem .Net-Framework läuft, und das könnte eine bessere Option für Sie sein. Ich erfinde hier also nicht wirklich etwas Neues, sondern füge lediglich eine Alternative hinzu.

Wenn Sie Windows-Sicherheit mögen, gefällt Ihnen vielleicht auch mein Angriffsgraphen-Tool Adalanche