mimikittenz

mimikittenz は、Windows の関数 ReadProcessMemory() を利用して、さまざまな対象プロセスから平文パスワードを抽出するポストエクスプロイテーション用の PowerShell ツールです。

mimikittenz は、正規表現パターンを使用して、対象プロセスから以下のような他の種類の juicy な情報も簡単に抽出できます（ただしこれらに限定されません）。

• マーチャント/POS プロセスからの TRACK2（クレジットカード）データ
• PII データ
• 暗号鍵 & その他すべての goodstuff

注記: このツールは実行中のプロセスのメモリアドレス空間を対象としています。プロセスが終了すると、そのメモリは「クリーンアップ」されてアクセスできなくなるはずですが、そうならないエッジケースがいくつか存在します。

スクリーンショット

説明

mimikittenz の目的は、ユーザーレベル（管理者権限なし）の機密データ抽出を提供し、ポストエクスプロイテーションの効果を最大化し、ターゲットごとに収集される情報の価値を高めることです。

現在 mimikittenz は以下の認証情報をメモリから抽出できます。

#####Webmail#####

• Gmail
• Office365
• Outlook Web

#####Accounting#####

• Xero
• MYOB

#####Remote Access#####

• Juniper SSL-VPN
• Citrix NetScaler
• Remote Desktop Web Access 2012

#####Development#####

• Jira
• Github
• Bugzilla
• Zendesk
• Cpanel

#####IHateReverseEngineers#####

• Malwr
• VirusTotal
• AnubisLabs

#####Misc#####

• Dropbox
• Microsoft Onedrive
• AWS Web Services
• Slack
• Twitter
• Facebook

ライセンス

https://creativecommons.org/licenses/by/4.0/

カスタマイズ

• カスタム正規表現 - カスタム正規表現を追加する構文は次のとおりです。

[mimikittenz.MemProcInspector]::AddRegex("<NameOfTarget>","<regex_here>")

• カスタムターゲットプロセス - ターゲットとするプロセス名を配列に追加するだけです。

[mimikittenz.MemProcInspector]::InspectManyProcs("iexplore","chrome","firefox")

貢献

包括的なポストエクスプロイテーションヒットリストを構築するために、正規表現とターゲットプロセスのリストが拡張されることを願っています。