VMkatz

Demasiado grande para robar

Llevas tres semanas en un compromiso de equipo rojo. Tu tráfico se arrastra a través de una VPN, luego salta a través de cuatro proxies SOCKS encadenados a través de cajas de salto comprometidas antes de tocar la red objetivo. Cada paquete toma la ruta escénica.

Después de días de movimiento lateral, aterrizas en un NAS conectado al clúster de virtualización y el listado de directorios golpea diferente: filas tras filas de .vmdk, .vmsn, .sav. Cientos de gigabytes de máquinas virtuales — controladores de dominio, estaciones de trabajo de administración, las joyas de la corona — justo allí.

Pero tu enlace jadea a 200 KB/s. Descargar una sola imagen de disco de 100 GB llevaría seis días, y cada hora de exfiltración sostenida es otra oportunidad para que el SOC detecte la anomalía, queme tu túnel, y toda la cadena colapse.

VMkatz existe porque no deberías tener que exfiltrar lo que puedes leer en el lugar. Extrae secretos de Windows — hashes NTLM, claves maestras DPAPI, tickets Kerberos, credenciales de dominio en caché, secretos LSA, NTDS.dit, claves BitLocker — directamente de instantáneas de memoria de VM y discos virtuales, en el NAS, el hipervisor, dondequiera que estén los archivos de la VM.

Un único binario estático, ~3 MB. Suéltalo en el host ESXi, el nodo Proxmox o el NAS. Apúntalo a un .vmsn, .vmdk o a toda una carpeta de VM. Vete con credenciales, no con imágenes de disco.

Qué Extrae

De instantáneas de memoria (LSASS)

Los 9 proveedores de credenciales SSP que implementa mimikatz:

Además: extracción de BitLocker FVEK de la memoria (escaneo de etiqueta de grupo para FVEc/Cngb).

De discos virtuales (sin conexión)

• Hashes SAM: hashes NT/LM de cuentas locales con estado de cuenta (deshabilitada, contraseña en blanco)
• Secretos LSA: contraseñas de cuentas de servicio, credenciales de inicio de sesión automático, claves de cuenta de máquina
• Credenciales de dominio en caché: hashes DCC2 (últimos N inicios de sesión de dominio)
• Claves maestras DPAPI: hashes listos para Hashcat ($DPAPImk$ — modos 15300/15310/15900/15910)
• NTDS.dit: extracción completa de hashes de Active Directory desde discos de controlador de dominio (analizador ESE nativo)
• Descifrado BitLocker: descifrado transparente de disco usando FVEK extraído de la memoria

Entradas Soportadas

SO objetivo: Windows Server 2003 hasta Windows Server 2025 / Windows 11 24H2 (x86 PAE + x64).

Inicio Rápido

# Extract LSASS credentials from a VMware snapshot
./vmkatz snapshot.vmsn

# With pagefile resolution for paged-out creds
./vmkatz --disk disk.vmdk snapshot.vmsn

# Extract SAM/LSA/DCC2 from a virtual disk
./vmkatz disk.vmdk

# Extract AD hashes from a domain controller disk
./vmkatz --ntds dc-disk.qcow2

# Point at a VM folder and let it find everything
./vmkatz /path/to/vm-directory/

# Extract from raw registry hives
./vmkatz SAM SYSTEM SECURITY

# Output as hashcat-ready hashes
./vmkatz --format hashcat snapshot.vmsn

# Export Kerberos tickets
./vmkatz --kirbi snapshot.vmsn        # .kirbi files
./vmkatz --ccache snapshot.vmsn       # .ccache file

# Export BitLocker FVEK for dislocker
./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

# Recursively scan all VMs under a path
./vmkatz -r /vmfs/volumes/datastore1/

# Parse LSASS minidump
./vmkatz lsass.dmp

Formatos de Salida

Despliegue en ESXi

# Cross-compile for ESXi (musl static)
cargo build --release --target x86_64-unknown-linux-musl

# Upload and run
scp target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
/tmp/vmkatz /vmfs/volumes/datastore1/MyVM/MyVM-Snapshot1.vmsn

Cuando la protección VIB (execInstalledOnly) está habilitada, usa el cargador Python — no es necesario deshabilitar la configuración:

scp tools/vmkatz_loader.py target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
python /tmp/vmkatz_loader.py /tmp/vmkatz /vmfs/volumes/datastore1/MyVM/snapshot.vmsn

Consulta docs/esxi.md para detalles sobre bypass de VIB, acceso a dispositivos raw VMFS y autodescubrimiento.

Características de Compilación

VMkatz es modular. Las características se pueden habilitar/deshabilitar en tiempo de compilación:

cargo build --release                                              # Full build
cargo build --release --no-default-features --features vmware      # VMware only
cargo build --release --no-default-features --features "sam ntds.dit"  # Disk only

Documentación

• Despliegue en ESXi, bypass de VIB, acceso raw a VMFS
• Ejemplo de salida
• Arquitectura y disposición de módulos
• Objetivos probados y limitaciones conocidas

Reconocimientos

• mimikatz por Benjamin Delpy (@gentilkiwi) — la referencia definitiva para los internos de LSASS y el descifrado de credenciales de Windows.
• pypykatz por Tamás Jós (@skelsec) — reimplementación pura de mimikatz en Python, utilizada como referencia cruzada para la extracción de SAM/LSA/DCC2.
• Impacket por Fortra (originalmente Alberto Solino @agsolino) — implementación de referencia para la extracción de NTDS.dit y el formato de salida pwdump.
• Vergilius Project — estructuras documentadas del kernel de Windows utilizadas para verificar los desplazamientos de campo EPROCESS en todas las compilaciones compatibles (XP hasta Win11 24H2).
• dissect.vmfs por Fox-IT (NCC Group) — analizador VMFS en Python del framework Dissect DFIR, utilizado como referencia para las estructuras en disco de VMFS.
• vmfs-tools por Mike Hommey — implementación de código abierto de VMFS3/5 que documenta las estructuras centrales en disco y los tipos de direcciones.
• volatility-kerberos por Sylvain Peyrefitte (@citronneur, Airbus CERT) — plugin de Kerberos para Volatility 3, inspiró el enfoque de tallado de tickets para recuperar tickets huérfanos de la memoria LSASS liberada.